CVE-2020-26124: openmediavault

csirt@kutim:~/threat-intel/cve/CVE-2020-26124

CVSS 8.8 · High EPSS 66,8%

Kerentanan Improper Control of Generation of Code ('Code Injection') pada openmediavault. Skor CVSS 3.1 8.8 (High) menurut NVD.

Deskripsi (NVD)

openmediavault before 4.1.36 and 5.x before 5.5.12 allows authenticated PHP code injection attacks, via the sortfield POST parameter of rpc.php, because json_encode_safe is not used in config/databasebackend.inc. Successful exploitation allows arbitrary command execution on the underlying operating system as root.

Rincian

Terbit di NVD: 2 Oktober 2020
Terakhir diubah: 17 Juni 2026
Status NVD: Modified
CVSS 3.1: 8.8 (High), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-94: Improper Control of Generation of Code ('Code Injection')
EPSS (30 hari): 66,8% peluang dieksploitasi; lebih tinggi dari 99,2% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
openmediavault	openmediavault	Semua versi sebelum 4.1.36
openmediavault	openmediavault	Versi 5.0.0 hingga sebelum 5.5.12

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://www.openmediavault.org/?p=2797 advisory vendor
https://github.com/openmediavault/openmediavault/commit/ebb51bbf5a39f4955eab0073bf87f2a31926d85d patch · advisory pihak ketiga
http://packetstormsecurity.com/files/160223/OpenMediaVault-rpc.php-Authenticated-PHP-Code-Injection.html exploit · advisory pihak ketiga · vdb entry

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.