CVE-2026-108546
Açıklama
Spotweb 1.5.8 ve öncesi sürümler, runcommand NZB işleyicisinde, uzaktaki saldırganların kötü amaçlı başlıklara sahip spotlar yayınlayarak komut çalıştırmasına izin veren bir OS komut enjeksiyonu zafiyeti içermektedir. Saldırganlar, başlığında kabuk meta karakterleri bulunan kendi imzalı spotları Usenet üzerinden paylaşabilir; bu karakterler kullanıcı spotu indirdiğinde $SPOTTITLE için kaçış karakterleri kullanılmadan ikame edilir ve exec() fonksiyonuna iletilerek komutların Spotweb PHP işlemi olarak çalıştırılmasına neden olur.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| spotweb spotweb | v ≤ 1.5.8 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.