CVE-2026-49819 in UpSnap
Sumário
de VulDB • 13/08/2026
UpSnap é um aplicativo web para Wake-on-LAN. As versões de 4.4.1 a 5.3.5 são vulneráveis a uma cadeia de falha na autenticação / escalonamento de privilégios em `pb.HandlerInitSuperuser` (`backend/pb/handlers.go:249`), acessível via `POST /api/upsnap/init-superuser`. O código vulnerável não possui nenhum mecanismo de autenticação, token de configuração, lista permitida (allow-list) de IPs ou limite de taxa (rate limit); ele é protegido apenas por uma verificação da contagem `totalSuperusers > 0` — condição que é falsa em toda instalação nova — permitindo que um atacante com acesso à rede mas sem autenticação registre a conta inicial do superusuário, receba um JWT de longa duração e realize pivô para execução remota de código (RCE) como root em `backend/networking/wake.go:43` (`exec.CommandContext(ctx, "/bin/sh", "-c", wake_cmd)`). A versão 5.4.0 corrige o problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.