В проекте Webmin выявлена опасная уязвимость, позволяющая аутентифицированным пользователям удалить любой файл в системе. Операция удаления производится из обработчика заданий cron, выполняемого с правами пользователя root. Проблема вызвана некорректной обработкой файлов блокировки, которые создаются с использованием в имени файла содержимого одной из передаваемых пользователем переменных. Указав в переменной user относительный путь к файлу и разделив его нулевым символом (например, «../../../../etc/passwd%00»), будет осуществлён вызов unlink(«../../../../etc/passwd.lock») в директории с файлами блокировки, что приведёт к удалению файла /etc/passwd.

Интересно, что проблема без лишней огласки наличия уязвимости была устранена в майском выпуске Webmin 1.690. В примечании к выпуску было в общем виде было упомянуто устранение межсайтового скриптинга и исправление незначительных проблем. Уязвимость была исправлена под видом добавления дополнительной проверки на предмет существования пользователя в системе.