XWEB EVOに認証後のOSコマンド注入の脆弱性、root権限で実行されるおそれ
Summary
XWEB EVOの5.6.2から5.8.8までに、api.luaの設定の読み込みと復元の機能でOSコマンドを注入される脆弱性が見つかりました。ログイン済みの攻撃者が任意のコマンドをroot権限で実行するおそれがあります。この製品は2026年3月にサポートが終了しており、修正版は公表されていないため、最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
XWEB EVOの5.6.2から5.8.8までに、api.luaの設定の読み込みと復元の機能でOSコマンドを注入される脆弱性が見つかりました。ログイン済みの攻撃者が任意のコマンドをroot権限で実行するおそれがあります。この製品は2026年3月にサポートが終了しており、修正版は公表されていないため、最新の情報を確認してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| CopelandXWEB EVO |
5.6.2 – 5.8.8→ Not listed |
Not listed |
This record does not list fixed versions. Check the article or the vendor advisory in the references for whether and where it is fixed.
Original description The description as published by the source.
XWEB EVO 5.6.2 through 5.8.8 contains an authenticated OS command injection vulnerability in the api.lua import_preconfiguration and restore actions, where server_url and related server credential fields are concatenated unescaped into a root curl command executed via io.popen. Attackers can inject malicious shell commands through these unfiltered parameters to achieve arbitrary command execution with root privileges on the underlying system. This product line reached it's end of service date in March 2026.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com