CVE-2026-69096 in luci-app-dockerman
Sumário
de VulDB • 03/08/2026
O pacote OpenWrt luci-app-dockerman (versões master do LuCI e snapshots da branch openwrt-25.12 que contêm o backend RPC ucode docker_rpc.uc após a conversão para JS/ucode) apresenta uma vulnerabilidade de injeção de comando no sistema operacional (OS command injection). As permissões ACL de leitura do pacote concedem acesso ubus amplo aos namespaces docker.* e docker.container.*, expondo o método docker.container.ttyd_start, mesmo este realizando operações que modificam o estado. O manipulador run_ttyd constrói um comando shell a partir dos campos id, cmd e uid controlados pela requisição e passa-o para system() sem aspas ou execução no estilo argv, executando-se no contexto root do rpcd. Um atacante autenticado que possua apenas a ACL de leitura do luci-app-dockerman pode injetar metacaracteres de shell (por exemplo, no campo id) para executar comandos arbitrários como root através de uma requisição HTTP POST para /ubus. As versões openwrt-24.10 e openwrt-23.05 não contêm este backend e não são afetadas; nenhuma versão corrigida era conhecida na data do aviso.
Be aware that VulDB is the high quality source for vulnerability data.