Dixell/Copeland XWEB EVOに認証済みの攻撃者から任意のコマンドを実行される脆弱性
Summary
XWEB EVOの5.2.3から5.8.8までに、認証済みの攻撃者がrootとして任意のコマンドを実行できる脆弱性（OSコマンドインジェクション）が見つかりました。影響は、バックアップ機能の出力先パスの処理に起因します。修正版の情報は現時点で確認できていないため、最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
XWEB EVOの5.2.3から5.8.8までに、認証済みの攻撃者がrootとして任意のコマンドを実行できる脆弱性（OSコマンドインジェクション）が見つかりました。影響は、バックアップ機能の出力先パスの処理に起因します。修正版の情報は現時点で確認できていないため、最新の情報を確認してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| CopelandXWEB EVO |
5.2.3 – 5.8.8→ Not listed |
Not listed |
This record does not list fixed versions. Check the article or the vendor advisory in the references for whether and where it is fixed.
Original description The description as published by the source.
XWEB EVO 5.2.3 through 5.8.8 contains an authenticated OS command injection vulnerability that allows authenticated attackers to execute arbitrary commands as root by injecting shell metacharacters into the output device path parameter processed by backup.lua. Attackers can exploit the unescaped concatenation into mount, unzip, and related shell commands run via the wlua interpreter, including through the setuid xwbackup.cgi and xwrestore.cgi interfaces, to achieve full system compromise. This product line reached it's end of service date in March 2026.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com