Descripción
XWEB EVO 4.3.0 a 5.8.8 contiene una vulnerabilidad de escritura arbitraria de archivos sin autenticación que permite a atacantes remotos modificar el archivo de configuración del sistema /etc/xwebconfig.json mediante el envío de una solicitud POST especialmente manipulada a config.lua con action=set, que no realiza validación de sesión y escribe el cuerpo de la solicitud sin procesar ni validar. Los atacantes pueden alterar valores de configuración, como los campos model y plugin, o provocar un estado SYSTEM_NOT_CONFIGURED mediante las operaciones action=get y action=set sin autenticación, lo que resulta en la manipulación de la configuración y una denegación de servicio (DoS). Esta línea de productos alcanzó su fecha de fin de servicio en marzo de 2026.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- XWEB EVO Afectadas: 4.3.0 a 5.8.8
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantewebapps.copeland.com/dixell/Content/Pages/AdvertisingMaterials/Produc…
- Parchewebapps.copeland.com/Dixell/Pages/SystemSoftwareUpdate
- Aviso de vulncheck.comvulncheck.com/advisories/dixell-copeland-xweb-evo-unauthenticated-con…
- Exploit publicadovulncheck.com/blog/copeland-xweb-evo-unauthenticated-root
Ver el texto original en inglés (CVE.org)
Dixell/Copeland XWEB EVO Unauthenticated Configuration Write via config.lua
XWEB EVO 4.3.0 through 5.8.8 contains an unauthenticated arbitrary file write vulnerability that allows remote attackers to modify the system configuration file /etc/xwebconfig.json by sending a crafted POST request to config.lua with action=set, which performs no session validation and writes the raw, unvalidated request body. Attackers can tamper with configuration values such as model and plugin fields or trigger a SYSTEM_NOT_CONFIGURED state via the unauthenticated action=get and action=set operations, resulting in configuration tampering and denial of service. This product line reached it's end of service date in March 2026.