PT-2022-4098 · Webmin · Webmin

Emir Polat · Publicado 2022-07-25 · Atualizado 2025-11-13 · CVE-2022-36446

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Webmin anteriores à 1.997

Descrição

O problema está relacionado à falta de escapamento de HTML em um comando da interface do usuário no componente software/apt-lib.pl do Webmin, permitindo que um invasor remoto execute código arbitrário.

Recomendações

Para versões anteriores à 1.997, atualize para a versão 1.997 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao componente software/apt-lib.pl até que um patch esteja disponível.

Exploit

Correção

Improper Encoding or Escaping of Output

Enumeração de Fraquezas

CWE-116

Identificadores relacionados

BDU:2022-04933

CVE-2022-36446

Produtos afetados

Webmin

Referências · 23

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/linux/http/webmin_package_updates_rce.rb · Exploit
• 🔥 https://github.com/p0dalirius/CVE-2022-36446-Webmin-Software-Package-Updates-RCE · Exploit
• 🔥 https://github.com/emirpolatt/CVE-2022-36446 · Exploit
• 🔥 https://gist.github.com/emirpolatt/cf19d6c0128fa3e25ebb47e09243919b · Exploit
• 🔥 https://exploit-db.com/exploits/50998 · Exploit
• 🔥 http://packetstormsecurity.com/files/168049/Webmin-Package-Updates-Command-Injection.html · Exploit
• https://github.com/webmin/webmin/commit/13f7bf9621a82d93f1e9dbd838d1e22020221bde · Correção
• https://github.com/webmin/webmin/compare/1.996...1.997 · Nota
• https://osv.dev/vulnerability/CVE-2022-36446 · Aviso do Fabricante
• https://t.me/cvenotify/33712 · Publicação no Telegram
• https://t.me/freedomf0x/17135 · Publicação no Telegram
• http://packetstormsecurity.com/files/167894/Webmin-1.996-Remote-Code-Execution.html · Nota
• https://t.me/poxek/2337 · Publicação no Telegram
• https://t.me/cybersecuritytechnologies/6591 · Publicação no Telegram
• https://t.me/cvenotify/34518 · Publicação no Telegram