Roxy-WI é uma interface web para gerenciar servidores Haproxy, Nginx, Apache e Keepalived. Anterior à versão 8.2.6.3, uma vulnerabilidade de injeção de comando existe no endpoint `/config/compare/<service>/<server_ip>/show`, permitindo que usuários autenticados executem comandos de sistema arbitrários no host da aplicação. A vulnerabilidade existe em `app/modules/config/config.py` na linha 362, onde a entrada do usuário é formatada diretamente na string de modelo que é eventualmente executada. A versão 8.2.6.3 corrige a questão.

A exploração bem-sucedida desta vulnerabilidade permite a um atacante autenticado executar comandos de sistema com os privilégios do usuário sob o qual o Roxy-WI está rodando. Isso pode levar à obtenção de informações confidenciais, modificação de arquivos de configuração, instalação de malware ou até mesmo ao controle completo do servidor. O impacto é amplificado se o Roxy-WI for usado para gerenciar infraestrutura crítica, pois um atacante pode usar essa vulnerabilidade para comprometer outros serviços e sistemas conectados. A falha se assemelha a outros casos de injeção de comando onde a falta de sanitização de entrada do usuário leva à execução de código malicioso.

Organizations utilizing Roxy-WI to manage Nginx, Haproxy, Apache, or Keepalived servers are at risk. This includes DevOps teams, system administrators, and security engineers responsible for maintaining these infrastructure components. Shared hosting environments where Roxy-WI is deployed could expose multiple tenants to the vulnerability.

• linux / server:

journalctl -u roxy-wi | grep -i "command injection"

• generic web:

curl -I http://<roxy-wi-ip>/config/compare/<service>/<server_ip>/show | grep -i "Content-Type: application/octet-stream"

1. 2026-03-18Disclosure

   disclosure

1. Reservado2026-02-24
2. Publicada2026-03-18
3. Modificada2026-03-19
4. EPSS atualizado2026-03-25

A mitigação primária para esta vulnerabilidade é a atualização imediata para a versão 8.2.6.3 do Roxy-WI. Se a atualização imediata não for possível devido a problemas de compatibilidade ou tempo de inatividade, considere implementar medidas de segurança adicionais. Restringir o acesso ao endpoint /config/compare/<service>/<serverip>/show apenas a usuários confiáveis pode reduzir o risco. Implementar um Web Application Firewall (WAF) com regras para detectar e bloquear tentativas de injeção de comando também pode ajudar. Monitore os logs do Roxy-WI em busca de atividades suspeitas, como comandos desconhecidos sendo executados. Após a atualização, confirme a correção executando uma verificação manual do endpoint /config/compare/<service>/<serverip>/show com entradas maliciosas para garantir que a injeção de comando foi efetivamente mitigada.