CVE-2026-27626: Esecuzione remota di codice in OliveTin

RCE critica in OliveTin (CVSS 9,9). Due vettori: authenticated via password argument, unauthenticated via webhook.

OliveTin fornisce accesso via web a comandi shell predefiniti. Il CVE-2026-27626 identifica una falla critica (CVSS 9,9) che consente l'esecuzione remota di codice arbitrario. Colpisce versioni fino a 3000.10.0. Due vettori indipendenti: uno sfruttabile dagli utenti autenticati (registrazione abilitata per default), l'altro completamente unauthenticato via webhook.

La severità è critical. Il primo vettore sfrutta la funzione 'checkShellArgumentSafety' che non blocca argomenti di tipo 'password', permettendo iniezione di metacaratteri shell. Il secondo bypassa completamente i controlli di tipo sui dati estratti da webhook JSON prima di passarli a 'sh -c'. Segnali social confermano la diffusione della conoscenza del CVE; nessuna patch disponibile alla data di divulgazione (25 febbraio 2026).

In difesa: se shell mode non è essenziale, disabilitarlo. Limitare l'accesso alla UI web. Verificare e sanitizzare i JSON ricevuti da webhook se provengono da fonti esterne. Monitorare i log di esecuzione comandi per comportamenti anomali. Contattare il maintainer del progetto per patchare non appena disponibili.

In sintesi

Cosa: OliveTin è una web UI per eseguire comandi shell predefiniti. Il CVE-2026-27626 consiste in due vettori di RCE: uno via argomenti di tipo 'password' che bypassa controlli di safety ('checkShellArgumentSafety'), uno unauthenticato via webhook con JSON non sanitizzato.
Gravità: CVSS 9,9 (critical). RCE completa con permessi del processo OliveTin. Colpisce versioni fino a 3000.10.0.
Versioni interessate: OliveTin versioni 3000.10.0 e precedenti.
Correzione: Patch non disponibile al momento della divulgazione (25 febbraio 2026). Monitorare il repository ufficiale per aggiornamenti.
Stato: Vulnerabilità divulgata pubblicamente. Circola attivamente su social media. Patch non ancora rilasciata.
Azione: Disabilitare shell mode se non essenziale. Se webhooks da fonti esterne: validare e sanitizzare JSON. Limitare accesso alla web UI. Monitorare log di esecuzione comandi.

Fonti: NVD, CVE-2026-27626

← Tutti gli articoli