CVE-2026-27626

概要

OliveTinは、Webインターフェースから事前定義されたシェルコマンドへのアクセスを提供します。バージョン3000.10.0以前のバージョンでは、OliveTinのシェルモードの安全性チェック（`checkShellArgumentSafety`）はいくつかの危険な引数タイプをブロックしますが、`password`はブロックしません。`password`タイプの引数を供給するユーザーは、任意のOSコマンドを実行するシェルメタ文字を注入できます。2つ目の独立したベクトルにより、webhookから抽出されたJSON値が型安全性チェックを完全にスキップして`sh -c`に到達するため、認証なしのRCEが可能になります。ベクトル1を悪用する場合、認証済みユーザー（デフォルトで登録が有効、デフォルトで`authType: none`）は、OliveTinプロセスの権限でOliveTinホスト上で任意のOSコマンドを実行できます。ベクトル2を悪用する場合、認証されていない攻撃者は、インスタンスが外部ソースからwebhookを受信する場合（これはOliveTinの主要なユースケースです）に同じことを達成できます。攻撃者が両方のベクトルを悪用すると、Shellモードとwebhookトリガーアクションを使用する任意のOliveTinインスタンスで認証なしのRCEが発生します。公開時点では、パッチ適用済みバージョンは利用できません。

• CVE-2026-27626-POCPoC

  OliveTinのパスワード引数処理におけるコマンドインジェクション（CVE-2026-27626）を利用した概念実証（PoC）エクスプロイトスクリプト。巧妙に細工されたAPIリクエストを介してRCEを可能にします。

• CVE-2026-27626-PoCPoC

  OliveTinは、事前定義されたシェルコマンドをエンドユーザーに公開するためのセルフホスト型Web UIです。このリポジトリには、OliveTinのシェルモード実行パスにおける2つの独立したOSコマンドインジェクションベクターを実証する概念実証が含まれており、どちらもアプリケーションの意図するシェル引数安全性チェックをバイパスします。