高 8.8

XWEB EVOに認証後のOSコマンド注入の脆弱性、root権限で実行されるおそれ

CVE-2026-124013 SecPulse初出 5:02

概要

XWEB EVOの5.6.2から5.8.8までに、api.luaの設定の読み込みと復元の機能でOSコマンドを注入される脆弱性が見つかりました。ログイン済みの攻撃者が任意のコマンドをroot権限で実行するおそれがあります。この製品は2026年3月にサポートが終了しており、修正版は公表されていないため、最新の情報を確認してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版 → 修正版	修正版
Copeland	CopelandXWEB EVO	5.6.2 〜 5.8.8→ 記載なし	記載なし

この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

XWEB EVO 5.6.2 through 5.8.8 contains an authenticated OS command injection vulnerability in the api.lua import_preconfiguration and restore actions, where server_url and related server credential fields are concatenated unescaped into a root curl command executed via io.popen. Attackers can inject malicious shell commands through these unfiltered parameters to achieve arbitrary command execution with root privileges on the underlying system. This product line reached it's end of service date in March 2026.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory