CVE-2026-27175

MajorDoMo (diğer adıyla Major Domestic Module), rc/index.php üzerinden kimlik doğrulaması gerektirmeyen bir işletim sistemi komut enjeksiyonuna karşı savunmasızdır. Kullanıcı girişinden gelen $param değişkeni, escapeshellarg() ile temizlenmeden çift tırnaklar içindeki bir komut dizisine eklenmektedir. Komut, herhangi bir temizleme işlemi gerçekleştirmeyen safe_exec() tarafından bir veritabanı kuyruğuna yerleştirilir. Kimlik doğrulaması olmadan web üzerinden erişilebilen cycle_execs.php betiği, kuyruktaki komutları alır ve doğrudan exec() fonksiyonuna aktarır. Bir saldırgan; önce cycle_execs.php'yi tetikleyerek (kuyruğu boşaltan ve bir yoklama döngüsüne giren işlem), ardından işleyici yoklama yaparken rc uç noktası aracılığıyla kötü amaçlı bir komut enjekte ederek bir yarış durumunu (race condition) istismar edebilir. Enjekte edilen kabuk meta karakterleri çift tırnaklar içinde genişleyerek bir saniye içinde uzaktan kod çalıştırmanın gerçekleştirilmesini sağlar.