Descripción
XWEB EVO anterior a 5.6.2 contiene una vulnerabilidad de inyección de comandos que permite a atacantes remotos no autenticados ejecutar comandos arbitrarios como root al explotar el CGI setuid-root xwconsole.cgi. Los atacantes pueden suministrar entradas maliciosas a través del parámetro sh, que se pasa sin sanitizar a popen(), para lograr el compromiso total del sistema. Esta línea de productos alcanzó su fecha de fin de servicio en marzo de 2026.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- XWEB EVO Afectadas: anteriores a 5.6.2
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantewebapps.copeland.com/dixell/Content/Pages/AdvertisingMaterials/Produc…
- Parchewebapps.copeland.com/Dixell/Pages/SystemSoftwareUpdate
- Aviso de vulncheck.comvulncheck.com/advisories/dixell-copeland-xweb-evo-unauthenticated-com…
- Exploit publicadovulncheck.com/blog/copeland-xweb-evo-unauthenticated-root
Ver el texto original en inglés (CVE.org)
Dixell/Copeland XWEB EVO Unauthenticated Command Injection via xwconsole.cgi
XWEB EVO before 5.6.2 contains a command injection vulnerability that allows unauthenticated remote attackers to execute arbitrary commands as root by exploiting the setuid-root CGI xwconsole.cgi. Attackers can supply malicious input through the sh parameter, which is passed unsanitized to popen(), to achieve full system compromise. This product line reached it's end of service date in March 2026.