XWEB EVO sfruttato in 100 minuti, prima di un PoC pubblico
VulnCheck ha osservato lo sfruttamento di una falla senza autenticazione in Dixell/Copeland XWEB EVO appena 1 ora e 40 minuti dopo la comparsa del record NVD, il 12 novembre 2026, prima che esistesse un PoC pubblico. La disclosure comprende 14 vulnerabilità del sistema di supervisione della refrigerazione.
La falla sfruttata permette di modificare la configurazione senza autenticazione. Separatamente, su firmware legacy, il campo username della pagina di login viene eseguito come comando di sistema prima del controllo della password: un accesso negato può comunque eseguire comandi con privilegi root.
L'esposizione riguarda i firmware legacy precedenti al 2021 e la versione 5.8.8, fuori supporto, che presenta altre debolezze. Il caso mostra che un record pubblico può dare agli attaccanti un punto di partenza prima dei dettagli tecnici: aspettare la pubblicazione di un PoC può significare arrivare dopo lo sfruttamento.
Code of the Day: Unauthenticated Root in Copeland XWEB EVO | Blog | VulnCheck
VulnCheck's Initial Access Intelligence team discloses 14 vulnerabilities in the Dixell / Copeland XWEB EVO refrigeration supervisor, including unauthenticated remote root on both the legacy builds and the current end-of-support firmware, where the login handler runs the submitted username as a shell command before the password check, the interpreter behind every page is setuid root, and the daily admin credential is a secret-free function of the device MAC and the date.