Copeland XWEB EVO
Copeland XWEB EVO: modifica della configurazione senza autenticazione e blocco del servizio
Il problema, secondo i dati ufficiali
- Una richiesta POST costruita ad hoc a config.lua con action=set permette di scrivere nel file di configurazione /etc/xwebconfig.json il contenuto della richiesta, senza controllo di sessione e senza validazione. Anche le operazioni action=get e action=set non richiedono autenticazione.
- Chi attacca può alterare valori di configurazione come i campi model e plugin, oppure portare il sistema nello stato SYSTEM_NOT_CONFIGURED. Il risultato è la manomissione della configurazione e un blocco del servizio (denial of service).
- Si sfrutta via rete, anche da internet se il servizio è esposto, senza bisogno di un account. La linea di prodotto ha raggiunto la fine del servizio a marzo 2026.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- XWEB EVO: dalla 4.3.0 alla 5.8.8 inclusa
Fonti ufficiali
- webapps.copeland.com — avviso del produttore
- webapps.copeland.com — patch
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
XWEB EVO 4.3.0 through 5.8.8 contains an unauthenticated arbitrary file write vulnerability that allows remote attackers to modify the system configuration file /etc/xwebconfig.json by sending a crafted POST request to config.lua with action=set, which performs no session validation and writes the raw, unvalidated request body. Attackers can tamper with configuration values such as model and plugin fields or trigger a SYSTEM_NOT_CONFIGURED state via the unauthenticated action=get and action=set operations, resulting in configuration tampering and denial of service. This product line reached it's end of service date in March 2026.
Non sai se ti riguarda?
Se usi Copeland XWEB EVO e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.