CVE-2026-27602highCWE-78

CVE-2026-27602: fallo de gravedad alta en modoboa

Modoboa has an OS Command Injection

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear modoboa+ Monitorear modoboa

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.2epss 0.6%
Modoboa is a mail hosting and management platform. Prior to version 2.7.1, `exec_cmd()` in `modoboa/lib/sysutils.py` always runs subprocess calls with `shell=True`. Since domain names flow directly into shell command strings without any sanitization, a Reseller or SuperAdmin can include shell metacharacters in a domain name to run arbitrary OS commands on the server. Version 2.7.1 patches the issue.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Productos afectados
modoboa · modoboa
CVEs relacionadas — modoboa

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-56780HIGHModoboa < 2.9.0 - Insecure Direct Object Reference in Account Password Change APIEPSS 0.5%CVE-2026-113599MEDIUMModoboa before 2.8.0 IDOR via API v2 armessages Auto-Reply CreationEPSS 0.3%CVE-2026-113598MEDIUMModoboa before 2.8.0 IDOR via API v2 alarms bulk_deleteEPSS 0.3%