EXPLOIT PÚBLICO
CVE-2026-27626 Inyección de comandos del sistema en OliveTin mediante el tipo de argumento password y webhooks
En OliveTin hasta la versión 3000.10.0 inclusive, la verificación de seguridad del modo shell no bloquea el tipo de argumento password, por lo que un usuario puede inyectar metacaracteres de shell y ejecutar comandos del sistema arbitrarios. Un segundo vector independiente permite ejecución remota de código sin autenticación mediante valores JSON extraídos de webhooks que omiten las verificaciones de tipo antes de llegar a sh -c.
Alerta de Nureq Monitor
Detectada 11 OCT · 17:02
CVSS 3.1
10.0CRÍTICAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,7 % PERCENTIL 54
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
Sí 1 REPOSITORIO
Qué es CVE-2026-27626
En OliveTin hasta la versión 3000.10.0 inclusive, la verificación de seguridad del modo shell no bloquea el tipo de argumento password, por lo que un usuario puede inyectar metacaracteres de shell y ejecutar comandos del sistema arbitrarios. Un segundo vector independiente permite ejecución remota de código sin autenticación mediante valores JSON extraídos de webhooks que omiten las verificaciones de tipo antes de llegar a sh -c.
Productos y versiones afectadas
OliveTin
Qué hacer
- Verificá si usás OliveTin y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Exploits y pruebas de concepto públicas
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
Calculadora CVSS
CVSS 3.1 · 10.0 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Cambiado
- CONFIDENCIALIDAD (C)
- Alta
- INTEGRIDAD (I)
- Alta
- DISPONIBILIDAD (A)
- Alta
Abrir la calculadora completa →
Descripción original
OliveTin gives access to predefined shell commands from a web interface. In versions up to and including 3000.10.0, OliveTin's shell mode safety check (`checkShellArgumentSafety`) blocks several dangerous argument types but not `password`. A user supplying a `password`-typed argument can inject shell metacharacters that execute arbitrary OS commands. A second independent vector allows unauthenticated RCE via webhook-extracted JSON values that skip type safety checks entirely before reaching `sh -c`. When exploiting vector 1, any authenticated user (registration enabled by default, `authType: none` by default) can execute arbitrary OS commands on the OliveTin host with the permissions of the OliveTin process. When exploiting vector 2, an unauthenticated attacker can achieve the same if the instance receives webhooks from external sources, which is a primary OliveTin use case. When an attacker exploits both vectors, this results in unauthenticated RCE on any OliveTin instance using Shell mode with webhook-triggered actions. As of time of publication, a patched version is not available.
Referencias
- github.com/OliveTin/OliveTin/security/advisories/GHSA-49gm-hh7w-wfvfX_REFSOURCE_CONFIRM
Historial de la alerta
- EXPLOIT PÚBLICO Se publicó el repositorio Shisones/CVE-2026-27626.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.