PT-2026-22427 · Opendcim · Opendcim

Valentin Lobstein · Publicado 2026-02-27 · Atualizado 2026-05-14 · CVE-2026-28517

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas openDCIM versões 23.04 até o commit 4467e9c4

Descrição A aplicação recupera o parâmetro de configuração dot do banco de dados e o passa diretamente para a função exec() sem validação ou sanitização. Se um atacante puder modificar o valor fac Config.dot, comandos arbitrários podem ser executados no contexto do processo do servidor web. O arquivo vulnerável é report network map.php.

Recomendações Versões anteriores ao commit 4467e9c4 são afetadas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

BDU:2026-07988

CVE-2026-28517

Produtos afetados

Opendcim

Referências · 19

• 🔥 https://github.com/Chocapikk/opendcim-exploit · Exploit
• 🔥 https://chocapikk.com/posts/2026/opendcim-sqli-to-rce · Exploit
• https://github.com/opendcim/openDCIM/pull/1664 · Correção
• https://github.com/opendcim/openDCIM/pull/1664/changes/8f7ab2a710086a9c8c269560793e47c577ddda09 · Correção
• https://github.com/opendcim/openDCIM/blob/4467e9c4/report_network_map.php#L467 · Nota
• https://github.com/opendcim/openDCIM/blob/4467e9c4/report_network_map.php#L7 · Nota
• https://t.me/cveNotify/154910 · Publicação no Telegram
• https://vulncheck.com/advisories/opendcim-os-command-injection-via-dot-configuration-parameter · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-28517 · Nota de Segurança
• https://t.me/CVEtracker/46013 · Publicação no Telegram
• https://twitter.com/catc0n/status/2054982504629592534 · Publicação no Twitter
• https://t.me/proxy_bar/3170 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2027538699005710718 · Publicação no Twitter
• https://twitter.com/ptdbugs/status/2029208213950759141 · Publicação no Twitter
• https://t.me/cveNotify/163152 · Publicação no Telegram