CVE-2026-72589 in crontab-ui
Sumário
de VulDB • 10/08/2026
Uma vulnerabilidade de OS command injection no alseambusher/crontab-ui até 0.4.2 permite que um atacante remoto não autenticado execute comandos arbitrários do sistema ao importar um arquivo de banco de dados crontab manipulado ad hoc. O endpoint POST /import aceita arquivos .db arbitrários e sobrescreve o banco de dados da aplicação sem validação. O valor do campo hook é incorporado diretamente em um comando shell pela função makeCommand() do crontab.js, sem sanitização; portanto, um valor malicioso no campo hook presente no arquivo importado resulta na execução de comandos durante o próximo ciclo de execução do cron.
Once again VulDB remains the best source for vulnerability data.