PT-2026-33762 · Progress · Loadmaster

Michael Argany · Publicado 2026-04-20 · Atualizado 2026-05-21 · CVE-2026-3518

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.4

Alta

Vetor base

AV:A/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Progress ADC Products (versões afetadas não especificadas)

Descrição Uma falha de injeção de comando de SO permite que um invasor autenticado com permissões "All" execute comandos arbitrários no appliance LoadMaster. Isso ocorre devido a entradas não sanitizadas no comando 'killsession' dentro da API e durante o processo de upload de arquivos de regras customizadas de WAF (Web Application Firewall) na interface do usuário (UI).

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2026-3518

ZDI-26-318

Produtos afetados

Loadmaster

Referências · 7

• https://zerodayinitiative.com/advisories/ZDI-26-318 · Nota de Segurança
• https://community.progress.com/s/article/LoadMaster-Security-Vulnerabilites-CVE-2026-3517-CVE-2026-3518-CVE-2026-3519-CVE-2026-4048-CVE-2026-21876 · Aviso do Fabricante
• https://t.me/cveNotify/161783 · Publicação no Telegram
• https://t.me/cveNotify/161796 · Publicação no Telegram
• https://t.me/cveNotify/161795 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-3518 · Nota de Segurança
• https://t.me/cveNotify/161797 · Publicação no Telegram