Vulnerabilidad · Publicado 07/10/2026
Rundeck versiones anteriores a 6.2.0 contiene una vulnerabilidad de inyección de comandos en sistemas Windows que permite a usuarios autenticados con permisos de ejecución de trabajos ejecutar comandos arbitrarios en nodos Windows mediante opciones manipuladas. Los atacantes pueden inyectar metacaracteres de cmd.exe como && o | en opciones de texto libre, eludiendo la protección de comillas simples en CLIUtils.quoteWindowsCMDArg. Afecta especialmente a infraestructuras de orquestación en centros de datos y entornos híbridos de LATAM.
Rundeck before 6.2.0 contains an OS command injection vulnerability that allows authenticated users with job run permission to execute commands on Windows nodes by supplying crafted option values. Attackers can inject cmd.exe metacharacters such as && or | into free-text options, which CLIUtils.quoteWindowsCMDArg wraps in ineffective single quotes, running commands with node executor credential privileges.
Score: 7.5/10 — Severidad: HIGH — Estado NIST: Received
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-78
Publicado en NIST NVD.