Missing shell quoting for ceph install command options
Betroffene Pakete
pve-manager
Details
Missing shell quoting for parameters passed to termproxy while handling xtermjs API requests allowed an attacker to execute arbitrary commands as root, if they managed to trick a user logged in as root@pam into opening a crafted URL containing such parameters.
This issue was found internally.
Behoben in
- pve-manager >= 9.2.24
Diese Seite ist eine inoffizielle Kopie des offiziellen Beitrags im Proxmox-Forum (öffnet in neuem Tab). Prüfe vor jeder Maßnahme das Original. Der Text des Advisories wird so auf Englisch angezeigt, wie Proxmox ihn veröffentlicht hat.