Copeland XWEB EVO
Copeland XWEB EVO: esecuzione di comandi come root senza autenticazione
Il problema, secondo i dati ufficiali
- Una falla di command injection nel sistema operativo permette di eseguire comandi arbitrari inserendo caratteri speciali della shell nel campo username di login.lua, cleanout.lua o api.lua, prima del controllo della password.
- Può sfruttarla un attaccante remoto non autenticato, via rete e senza bisogno di un account. Insieme all'interprete wlua con setuid root, i comandi vengono eseguiti con privilegi di root e il sistema può essere compromesso completamente.
- La linea di prodotto ha raggiunto la fine del servizio a marzo 2026.
Cosa fare
- Aggiorna XWEB EVO alla versione 5.7.0 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- XWEB EVO: dalla 5.2.3 alla 5.7.0 esclusa
Fonti ufficiali
- webapps.copeland.com — patch
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
XWEB EVO versions 5.2.3 through before 5.7.0 contains a pre-authentication OS command injection vulnerability that allows unauthenticated remote attackers to execute arbitrary OS commands by injecting shell metacharacters into the username field of login.lua, cleanout.lua, or api.lua before the password check occurs. Attackers can exploit this flaw combined with the setuid-root wlua interpreter to execute commands with root privileges, achieving full system compromise. This product line reached it's end of service date in March 2026.
Non sai se ti riguarda?
Se usi Copeland XWEB EVO e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.