Descripción
XWEB EVO, desde la versión 5.2.3 hasta antes de la 5.7.0, contiene una vulnerabilidad de inyección de comandos del sistema operativo previa a la autenticación que permite a atacantes remotos no autenticados ejecutar comandos arbitrarios del sistema operativo mediante la inyección de metacaracteres de shell en el campo de nombre de usuario de login.lua, cleanout.lua o api.lua antes de que se realice la verificación de la contraseña. Los atacantes pueden explotar esta falla, combinada con el intérprete wlua setuid-root, para ejecutar comandos con privilegios de root y lograr el compromiso total del sistema. Esta línea de productos alcanzó su fecha de fin de servicio en marzo de 2026.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- XWEB EVO Afectadas: 5.2.3 y anteriores a 5.7.0 No afectadas: 5.7.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantewebapps.copeland.com/dixell/Content/Pages/AdvertisingMaterials/Produc…
- Parchewebapps.copeland.com/Dixell/Pages/SystemSoftwareUpdate
- Aviso de vulncheck.comvulncheck.com/advisories/dixell-copeland-xweb-evo-pre-authentication-…
- Exploit publicadovulncheck.com/blog/copeland-xweb-evo-unauthenticated-root
Ver el texto original en inglés (CVE.org)
Dixell/Copeland XWEB EVO Pre-Auth OS Command Injection via Username
XWEB EVO versions 5.2.3 through before 5.7.0 contains a pre-authentication OS command injection vulnerability that allows unauthenticated remote attackers to execute arbitrary OS commands by injecting shell metacharacters into the username field of login.lua, cleanout.lua, or api.lua before the password check occurs. Attackers can exploit this flaw combined with the setuid-root wlua interpreter to execute commands with root privileges, achieving full system compromise. This product line reached it's end of service date in March 2026.