Šta se desilo?

Za RaspAP raspap-webgui objavljen je CVE-2026-101860, propust u upravljanju privilegijama pri konfigurisanju sudo dozvola za dodatke. Javni demonstracioni kod je dostupan. To ne predstavlja potvrdu zloupotrebe u stvarnim napadima.

Koga pogađa?

CVE zapis opisuje verzije do 3.5.5, a u strukturiranom spisku navodi 3.5.0–3.5.5. CVSS vektor predviđa napad preko mreže uz postojeće niske privilegije, bez interakcije drugog korisnika. Nije reč o potvrđenom napadu bez autentifikacije.

Kako se zaštititi?

  • Ograničite pristup administratorskom interfejsu na pouzdane korisnike i mreže.
  • Pregledajte naloge i uklonite nepotrebna ovlašćenja.
  • Proverite neočekivane izmene sudoers pravila i zapise o instaliranju dodataka.
  • Pratite bezbednosna obaveštenja projekta i proverite da li konkretno izdanje ispravlja ovaj CVE pre nego što ga označite kao zakrpljeno.

Tehnički detalji

Problem je prijavljen u funkciji PluginInstaller::addSudoers, u datoteci src/RaspAP/Plugins/PluginInstaller.php. Klasifikacije su CWE-269 i CWE-266. VulDB kao CNA daje CVSS 3.1 ocenu 8,8 (High), sa vektorom CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. NVD nije dao sopstvenu ocenu.

Provera od 2. oktobra 2026: projekat je objavio verzije 3.5.6 i 3.5.7, ali pregledane beleške o tim izdanjima ne potvrđuju izričito ispravku CVE-2026-101860. Njihovo postojanje zato nije dovoljno za tvrdnju da je ovaj propust zakrpljen. U pregledanim izvorima nije potvrđena aktivna eksploatacija.

Zašto je važno?

Preširoke sudo dozvole mogu narušiti granicu između veb aplikacije i sistemskih privilegija. Prioritet zaštite zavisi od toga ko može da pristupi interfejsu i funkcijama za instaliranje dodataka.

Preporuka Sajber Radara

Ograničite administratorski pristup i proverite dozvole. Status zakrpe vodite kao nepotvrđen dok proizvođač ili proverljiva tehnička analiza ne povežu ispravku sa ovim CVE-om.