CVE-2026-123620highCWE-78

CVE-2026-123620: falha de alta gravidade em webmin usermin

Usermin through 2.570 OS Command Injection via Read Mail IMAP Folder Deletion

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar usermin

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.7epss 1.4%
Usermin through 2.570 contains an OS command injection vulnerability in the Read Mail module that allows authenticated users to execute commands through unsanitized IMAP folder names. Attackers can create a folder containing shell metacharacters via an external IMAP client, then delete it in Usermin to run commands as their system account, bypassing webmail-only restrictions.
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Produtos afetados
webmin · usermin
CVEs relacionadas — webmin usermin

No mesmo produto, das mais perigosas para as menos.

CVE-2026-123621HIGHUsermin through 2.570 Path Traversal File Write via detachall.cgiEPSS 1.0%CVE-2026-123622MEDIUMUsermin through 2.570 XSS via mailbox detach.cgi type ParameterEPSS 0.3%