Roxy-WI एक वेब इंटरफ़ेस है जिसका उपयोग Haproxy, Nginx, Apache और Keepalived सर्वरों को प्रबंधित करने के लिए किया जाता है। संस्करण 8.2.6.3 से पहले, `/config/compare/<service>/<server_ip>/show` एंडपॉइंट में एक कमांड इंजेक्शन भेद्यता मौजूद है, जिसने प्रमाणित उपयोगकर्ताओं को ऐप होस्ट पर मनमाना सिस्टम कमांड निष्पादित करने की अनुमति दी। भेद्यता `app/modules/config/config.py` में लाइन 362 पर मौजूद है, जहां उपयोगकर्ता इनपुट को सीधे टेम्पलेट स्ट्रिंग में फॉर्मेट किया जाता है जिसे अंततः निष्पादित किया जाता है। संस्करण 8.2.6.3 इस समस्या को ठीक करता है।

Roxy-WI में यह कमांड इंजेक्शन भेद्यता एक गंभीर सुरक्षा जोखिम प्रस्तुत करती है। एक हमलावर, जो प्रमाणित है, /config/compare/<service>/<server_ip>/show एंडपॉइंट का उपयोग करके मनमाना सिस्टम कमांड निष्पादित कर सकता है। इसका मतलब है कि वे सर्वर पर डेटा चोरी कर सकते हैं, सिस्टम फ़ाइलों को संशोधित कर सकते हैं, या यहां तक कि सर्वर पर पूर्ण नियंत्रण प्राप्त कर सकते हैं। इस भेद्यता का उपयोग अन्य प्रणालियों में आगे बढ़ने के लिए भी किया जा सकता है, खासकर यदि Roxy-WI सर्वर एक नेटवर्क का प्रवेश बिंदु है। यह भेद्यता Log4Shell जैसी शोषण पैटर्न के समान है, जहां एक हमलावर अप्रत्याशित कमांड निष्पादित करने के लिए एक इनपुट वेक्टर का उपयोग करता है।

Organizations utilizing Roxy-WI to manage Nginx, Haproxy, Apache, or Keepalived servers are at risk. This includes DevOps teams, system administrators, and security engineers responsible for maintaining these infrastructure components. Shared hosting environments where Roxy-WI is deployed could expose multiple tenants to the vulnerability.

• linux / server:

journalctl -u roxy-wi | grep -i "command injection"

• generic web:

curl -I http://<roxy-wi-ip>/config/compare/<service>/<server_ip>/show | grep -i "Content-Type: application/octet-stream"

1. 2026-03-18Disclosure

   disclosure

1. आरक्षित2026-02-24
2. प्रकाशित2026-03-18
3. संशोधित2026-03-19
4. EPSS अद्यतन2026-03-25

CVE-2026-27811 को कम करने के लिए, Roxy-WI को तुरंत संस्करण 8.2.6.3 या बाद के संस्करण में अपडेट करना महत्वपूर्ण है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप Roxy-WI के सामने एक वेब एप्लिकेशन फ़ायरवॉल (WAF) तैनात कर सकते हैं जो कमांड इंजेक्शन हमलों को ब्लॉक करने के लिए कॉन्फ़िगर किया गया है। WAF नियमों को /config/compare/<service>/<serverip>/show एंडपॉइंट पर भेजे गए इनपुट को फ़िल्टर करने के लिए कॉन्फ़िगर किया जाना चाहिए। इसके अतिरिक्त, सुनिश्चित करें कि Roxy-WI केवल उन उपयोगकर्ताओं के लिए सुलभ है जिन्हें इसकी आवश्यकता है, और मजबूत प्रमाणीकरण तंत्र का उपयोग करें। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, /config/compare/<service>/<serverip>/show एंडपॉइंट पर एक दुर्भावनापूर्ण कमांड भेजने का प्रयास करके।