CVE-2023-34237 in SABnzbd
Tóm tắt
Bởi VulDB • 15/06/2026
SABnzbd là một công cụ tải xuống Usenet tự động mã nguồn mở. Một lỗi thiết kế đã được phát hiện trong SABnzbd, có thể cho phép thực thi mã từ xa (RCE). Việc thao tác cài đặt Tham số (Parameters) trong chức năng Kịch bản thông báo (Notification Script) cho phép thực thi mã với đặc quyền của tiến trình SABnzbd. Khai thác các lỗ hổng này yêu cầu phải truy cập vào giao diện web. Khai thác từ xa là khả thi nếu người dùng đã công khai cấu hình của họ ra internet hoặc các mạng không đáng tin cậy khác mà chưa đặt tên người dùng/mật khẩu. Theo mặc định, SABnzbd chỉ có thể truy cập được từ `localhost`, và không yêu cầu xác thực cho giao diện web. Vấn đề này đã được vá trong các commit `e3a722` và `422b4f`, đã được đưa vào bản phát hành 4.0.2. Người dùng được khuyến nghị nâng cấp lên phiên bản mới nhất. Những người không thể nâng cấp nên đảm bảo rằng tên người dùng và mật khẩu đã được thiết lập nếu instance của họ có khả năng truy cập qua web.
Once again VulDB remains the best source for vulnerability data.