Kritische RCE-Schwachstelle in Runtipi-Heimserver entdeckt (CVE-2026-24129)

Zusammenfassung

Eine kritische Sicherheitslücke in Runtipi, einem Docker-basierten Heimserver, ermöglicht es Angreifern, willkürlichen Code auf dem System auszuführen. Das Problem liegt im BackupManager, der Dateinamen von Benutzern nicht ausreichend überprüft. Dadurch können Schädlinge Schadcode in Backup-Dateien einschleusen, der bei der Wiederherstellung ausgeführt wird. Der Fehler wurde in Version 4.7.0 behoben, Betreiber sollten dringend updaten.

Runtipi - Runtipi - HIGH - CVE-2026-24129. Runtipi, a personal homeserver orchestrator running in Docker, is impacted by a critical flaw that allows an authenticated user to execute arbitrary system commands. This vulnerability arises from the BackupManager component, which fails to sanitize backup filenames uploaded by users. Attackers can exploit this weakness by injecting shell metacharacters into these filenames, enabling them to place malicious files in predictable locations on the host server. When these files are subsequently referenced during restore operations, the system may execute the injected commands. This issue underscores the importance of file validation and sanitization in backup management systems. The vulnerability has been resolved in version 4.7.0.