PT-2026-32910 · Unknown · Openitcockpit Community Edition

H00Die-Gr3Y · Publicado 2026-04-14 · Atualizado 2026-04-15 · CVE-2026-24893

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions openITCOCKPIT Community Edition versões anteriores a 5.5.2

Description Um usuário autenticado com permissões para adicionar ou modificar hosts pode executar comandos arbitrários do SO no backend de monitoramento. Isso ocorre porque atributos de host controlados pelo usuário, especificamente o endereço do host, são expandidos em modelos de comando de monitoramento sem a devida validação, escape ou aspas. Esses modelos são posteriormente executados pelo mecanismo de monitoramento (Nagios/Icinga) via shell, resultando em execução remota de código.

Recommendations Atualizar para a versão 5.5.2.

Correção

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-20

CWE-78

Identificadores relacionados

CVE-2026-24893

Produtos afetados

Openitcockpit Community Edition

Referências · 5

• https://github.com/openITCOCKPIT/openITCOCKPIT/security/advisories/GHSA-789q-pw85-j2q2 · Aviso do Fabricante
• https://github.com/openITCOCKPIT/openITCOCKPIT/releases/tag/openITCOCKPIT-5.5.2 · Nota
• https://twitter.com/CVEnew/status/2044338935112118470 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-24893 · Nota de Segurança
• https://openitcockpit.io/blog/posts/2026/2026-04-14-openitcockpit-agent-3.6.0-and-5.5.2 · Nota