VULNERABILIDAD
CVE-2026-108546 Inyección de comandos del sistema en Spotweb vía título de spot en runcommand
Spotweb hasta 1.5.8 contiene una inyección de comandos del sistema en el manejador NZB runcommand. Un atacante puede publicar spots por Usenet con metacaracteres de shell en el título, que se sustituyen sin escapar en $SPOTTITLE y se pasan a exec() cuando un usuario descarga el spot, ejecutando comandos como el proceso PHP de Spotweb.
Alerta de Nureq Monitor
Detectada 10 OCT · 13:37
CVSS 3.1
7.5ALTACVSS 4.0
7.7 ALTA
PROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,8 % PERCENTIL 56
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-108546
Spotweb hasta 1.5.8 contiene una inyección de comandos del sistema en el manejador NZB runcommand. Un atacante puede publicar spots por Usenet con metacaracteres de shell en el título, que se sustituyen sin escapar en $SPOTTITLE y se pasan a exec() cuando un usuario descarga el spot, ejecutando comandos como el proceso PHP de Spotweb.
Productos y versiones afectadas
spotweb
Qué hacer
- Verificá si usás spotweb y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 7.5 ALTA
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Alta
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Requerida
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Alta
- INTEGRIDAD (I)
- Alta
- DISPONIBILIDAD (A)
- Alta
CVSS 4.0 · 7.7 ALTA
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Alta
- REQUISITOS DEL ATAQUE (AT)
- Presentes
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Pasiva
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Alta
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Alta
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Alta
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Ninguna
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Ninguna
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Ninguna
Abrir la calculadora completa →
Descripción original
Spotweb through 1.5.8 contains an OS command injection vulnerability in the runcommand NZB handler that allows remote attackers to execute commands by publishing spots with malicious titles. Attackers can post self-signed spots over Usenet with shell metacharacters in the title, which are substituted unescaped for $SPOTTITLE and passed to exec() when a user downloads the spot, running commands as the Spotweb PHP process.
Referencias
- hackmd.io/@haind/spotweb-runcommand-title-injectionTECHNICAL-DESCRIPTION · EXPLOIT
- github.com/spotweb/spotwebPRODUCT
- github.com/spotweb/spotweb/blob/1.5.8/lib/services/NzbHandler/Services_NzbHandler_Runcomm…TECHNICAL-DESCRIPTION
- www.vulncheck.com/advisories/spotweb-through-1.5.8-os-command-injection-via-spot-title-in…THIRD-PARTY-ADVISORY
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.