CVE-2026-33208

Roxy-WI; Haproxy, Nginx, Apache ve Keepalived sunucularını yönetmek için kullanılan bir web arayüzüdür. Versiyon 8.2.6.4 öncesinde, Roxy-WI içindeki /config/ < service > /find-in-config uç noktası, kullanıcı tarafından sağlanan words parametresini, daha sonra SSH aracılığıyla uzak yönetilen bir sunucuda yürütülen bir kabuk komutu dizisine yerleştirmeden önce temizlememektedir. Kimliği doğrulanmış bir saldırgan, hedeflenen grep komut bağlamından çıkmak için rastgele kabuk meta karakterleri enjekte edebilir ve hedef sunucuda sudo ayrıcalıklarıyla rastgele işletim sistemi komutları çalıştırabilir; bu durum tam uzaktan kod çalıştırma (RCE) ile sonuçlanır. Versiyon 8.2.6.4 bu sorunu gidermektedir.