Travisun Opptrix: command injection в Schedule API (CVE-2026-115969)

В начале 2026 года в реестре CVE была опубликована информация об уязвимости в продукте Travisun Opptrix — прикладном решении, которое, судя по описанию, разрабатывалось в рамках учебного проекта. Проблема получила идентификатор CVE-2026-115969 и затрагивает версию 0.4.0.

Подробности

Уязвимость затрагивает функцию в файле /api/auth/setup, относящуюся к компоненту Schedule API. По классификации CWE речь идёт о command injection: манипуляция входными данными позволяет внедрить и выполнить произвольные команды операционной системы. Согласно описанию, атаку можно инициировать удалённо, а эксплойт уже опубликован и может быть использован злоумышленниками.

Уязвимости присвоен базовый балл CVSS 6.9, что соответствует уровню MEDIUM. Стоит отметить, что подобные оценки для command injection нередко оказываются заниженными относительно реального риска: успешная эксплуатация такого класса уязвимостей, как правило, приводит к компрометации хоста.

Отдельного внимания заслуживает статус проекта. По информации из записи CVE, проект Travisun Opptrix полностью снят с публикации и объявлен устаревшим (deprecated). Мейнтейнер пояснил, что упомянутый риск был ошибкой проектирования, проявившейся преимущественно в локальных окружениях на ранних стадиях разработки версий. Исправление безопасности было внесено напрямую в GitHub-репозиторий ещё до того, как он стал приватным, однако до пользователей патч не дошёл. Дополнительно подчёркивается, что основная часть версий проектировалась исключительно для запуска на localhost, а сам проект имел узкую учебную направленность.

Важно понимать: уязвимость затрагивает только продукты, которые больше не поддерживаются мейнтейнером. Это означает, что официальных обновлений с исправлением не будет.

Что делать

Поскольку проект не поддерживается, патча не существует. Рекомендации носят компенсирующий характер:

• вывести Travisun Opptrix 0.4.0 из эксплуатации и не использовать его в продуктивных или доступных из сети окружениях;
• если отказ от продукта невозможен, изолировать его в сегменте без доступа из интернета — в первую очередь закрыть эндпоинт /api/auth/setup на периметре (WAF, reverse proxy, правила фильтрации);
• ограничить запуск приложения исключительно localhost, как и предполагалось изначально, и минимизировать права процесса;
• проверить журналы веб-сервера и приложения на предмет обращений к /api/auth/setup и признаков выполнения подозрительных команд; при наличии таких следов считать хост скомпрометированным;
• при наличии форков или встроенных копий кода — провести ревизию обработки пользовательского ввода в обработчиках setup-запросов и заменить вызовы оболочки на безопасные API.

Итог: CVE-2026-115969 — наглядный пример того, как ошибка проектирования, «исправленная» только в приватном репозитории, остаётся актуальной для всех, у кого уже развёрнута уязвимая версия. Публичный эксплойт и удалённая эксплуатация делают риск вполне практическим, несмотря на средний балл CVSS и учебный характер проекта. Единственная надёжная стратегия — прекратить использование Travisun Opptrix.

Источник: CVE Project (cvelistV5)