PT-2026-34835 · Roxy-Wi · Roxy-Wi

Firebasky · Publicado 2026-04-24 · Atualizado 2026-04-25 · CVE-2026-33078

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Roxy-WI versões anteriores a 8.2.6.4

Descrição Existe um problema na função haproxy section save() em app/routes/config/routes.py. O parâmetro server ip, originado do caminho da URL, é passado sem sanitização e interpolado em uma string de consulta SQL usando formatação de string do Python. Isso permite que atacantes executem comandos SQL arbitrários por meio de injeção de SQL, uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução.**

Recomendações Atualizar para a versão 8.2.6.4.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-33078

Produtos afetados

Roxy-Wi

Referências · 4

• 🔥 https://github.com/roxy-wi/roxy-wi/security/advisories/GHSA-jmj9-2c4q-849j · Exploit
• https://github.com/roxy-wi/roxy-wi/commit/aecc7971959092fa93e93531f1ffcde33524b031 · Correção
• https://twitter.com/CVEnew/status/2048099335439602043 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-33078 · Nota de Segurança