https://alertas.dupin.com.ar/fabricante/webmin/Alertas de vulnerabilidades de webmin.esSun, 08 Nov 2026 16:31:17 +000010https://alertas.dupin.com.ar/cve/CVE-2026-124552/tg:64083Sun, 08 Nov 2026 16:31:17 +0000VulnerabilidadWebmin hasta 2.670 contiene una vulnerabilidad de cross-site scripting (XSS) almacenado en list.cgi de los módulos Shorewall y Shorewall6, que renderiza campos de tabla y líneas COMMENT sin escapar. Usuarios autenticados con permiso de edición de tablas pueden almacenar JavaScript mediante savecmt.cgi o entradas de tabla que se ejecuta cuando otros usuarios, incluido root, ven la página de listado.https://alertas.dupin.com.ar/cve/CVE-2026-123622/tg:63753Fri, 06 Nov 2026 16:02:56 +0000VulnerabilidadUsermin hasta 2.570 contiene una vulnerabilidad de cross-site scripting (XSS) en mailbox/detach.cgi que permite a atacantes remotos ejecutar script enviando un parámetro type arbitrario que evade el filtrado de JavaScript. El atacante puede enviar por correo un adjunto HTML con script y atraer a la víctima a un enlace detach.cgi con type=text/html para ejecutar el script en su sesión autenticada de Usermin.https://alertas.dupin.com.ar/cve/CVE-2026-123621/tg:63752Fri, 06 Nov 2026 16:02:55 +0000VulnerabilidadUsermin hasta 2.570 contiene una vulnerabilidad de recorrido de directorios en mailbox/detachall.cgi que permite a atacantes remotos no autenticados escribir archivos fuera del directorio temporal mediante nombres de adjuntos no saneados. El atacante envía adjuntos con secuencias ../ en los nombres y, cuando el destinatario descarga todos los adjuntos, se sobrescriben archivos como ~/.forward, lo que habilita la ejecución de comandos.https://alertas.dupin.com.ar/cve/CVE-2026-123620/tg:63751Fri, 06 Nov 2026 16:02:55 +0000VulnerabilidadUsermin hasta 2.570 contiene una vulnerabilidad de inyección de comandos del sistema en el módulo Read Mail que permite a usuarios autenticados ejecutar comandos mediante nombres de carpetas IMAP no saneados. El atacante crea una carpeta con metacaracteres de shell desde un cliente IMAP externo y luego la elimina en Usermin para ejecutar comandos como su cuenta del sistema, evadiendo las restricciones de solo webmail.