Roxy-WI 是一个用于管理 Haproxy、Nginx、Apache 和 Keepalived 服务器的网络界面。在 8.2.6.3 版本之前，`/config/compare/<service>/<server_ip>/show` 端点存在命令注入漏洞，允许经过身份验证的用户在应用程序主机上执行任意系统命令。该漏洞存在于 `app/modules/config/config.py` 的第 362 行，用户输入直接格式化到最终执行的模板字符串中。8.2.6.3 版本修复了此问题。

攻击者可以利用此命令注入漏洞在 Roxy-WI 服务器上执行任意代码。这可能包括读取敏感数据、修改系统配置、安装恶意软件，甚至完全控制受影响的服务器。由于 Roxy-WI 通常用于管理负载均衡和反向代理，攻击者可能能够利用此漏洞进行横向移动，攻击其他后端服务器。如果 Roxy-WI 用于管理关键基础设施，则攻击的影响范围可能非常广泛，可能导致服务中断和数据泄露。该漏洞的利用方式类似于其他命令注入漏洞，攻击者可以构造恶意的 HTTP 请求，将恶意命令注入到 Roxy-WI 的处理流程中。

Organizations utilizing Roxy-WI to manage Nginx, Haproxy, Apache, or Keepalived servers are at risk. This includes DevOps teams, system administrators, and security engineers responsible for maintaining these infrastructure components. Shared hosting environments where Roxy-WI is deployed could expose multiple tenants to the vulnerability.

• linux / server:

journalctl -u roxy-wi | grep -i "command injection"

• generic web:

curl -I http://<roxy-wi-ip>/config/compare/<service>/<server_ip>/show | grep -i "Content-Type: application/octet-stream"

1. 2026-03-18Disclosure

   disclosure

1. 已保留2026-02-24
2. 发布日期2026-03-18
3. 修改日期2026-03-19
4. EPSS 更新日期2026-03-25

最有效的缓解措施是立即将 Roxy-WI 升级至 8.2.6.3 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制 Roxy-WI 的访问权限，仅允许必要的用户访问 /config/compare/<service>/<server_ip>/show 端点。实施严格的输入验证，过滤掉任何可能包含恶意命令的输入。如果可能，在 Roxy-WI 前面部署 Web 应用程序防火墙 (WAF)，并配置规则以检测和阻止命令注入攻击。监控 Roxy-WI 的日志文件，查找任何可疑活动。在升级后，请验证配置是否正确，并确认漏洞已得到修复。