Una vulnerabilità di path traversal senza autenticazione nella piattaforma di automazione Windmill è sotto exploit attivo dal 22 luglio 2026. La falla, identificata come CVE-2026-29059, consente la lettura arbitraria di file server attraverso l'endpoint /api/w/{workspace}/jobs_u/get_log_file/{filename}, con potenziale escalation a superadmin quando la variabile d'ambiente SUPERADMIN_SECRET è configurata. Circa 170 sistemi esposti in 24 paesi risultano ancora vulnerabili nonostante la correzione sia disponibile da gennaio.
- L'endpoint
get_log_filedi Windmill concatena il parametro filename senza sanificazione, permettendo sequenze../per leggere file arbitrari - VulnCheck ha rilevato exploit attivi mirati a
/etc/passwde/proc/1/environ, con circa 170 istanze vulnerabili esposte su Internet in 24 paesi - Quando
SUPERADMIN_SECRETè impostata, la sua lettura da/proc/1/environconsente autenticazione come superadmin tramite Bearer token - Windmill versione 1.603.3, rilasciata a gennaio 2026, corregge la vulnerabilità; l'exploit attivo dimostra che la patch non è stata applicata su larga scala
Il meccanismo: come funziona il path traversal su get_log_file
L'endpoint REST /api/w/{workspace}/jobs_u/get_log_file/{filename} riceve il nome file come parametro di percorso e lo concatena direttamente nel percorso del file system senza sanificazione. Secondo l'advisory Windmill di marzo 2026, citato da The Hacker News: "The filename parameter is concatenated into a file path without sanitization, allowing an attacker to read arbitrary files on the server using ../ sequences".
Il National Vulnerability Database assegna alla falla un punteggio CVSS 3.1 di 7.5 (HIGH), con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N. La criticità deriva dall'accesso network senza autenticazione e dalla completa mancanza di requisiti di privilegio o interazione utente. L'impatto è limitato alla confidenzialità: lettura arbitraria di file, senza integrità o disponibilità compromesse direttamente.
La semplicità del vettore — una singola richiesta HTTP con sequenze di directory traversal — lo rende particolarmente adatto allo scanning automatizzato e alla massimizzazione del rendimento per gli attaccanti.
Dalla lettura di file al controllo completo: il ruolo di SUPERADMIN_SECRET
L'impatto base della vulnerabilità è la lettura arbitraria di file, ma la configurazione operativa amplifica drasticamente la posta in gioco. Quando l'amministratore ha impostato la variabile d'ambiente SUPERADMIN_SECRET, questa risulta leggibile tramite /proc/1/environ, il file del processo init del container che espone tutte le variabili d'ambiente.
Il token così estratto è utilizzabile direttamente come Bearer token per l'API di preview dei job, abilitando l'esecuzione di codice con privilegi di superadmin. Secondo l'advisory Windmill citato da The Hacker News: "The primary sensitive value exposed by this vulnerability is the SUPERADMIN_SECRET environment variable, readable via /proc/1/environ".
La variabile non è impostata per default nelle installazioni standalone, che quindi rimangono limitate alla sola lettura di file. Tuttavia, le distribuzioni enterprise e le integrazioni containerizzate — dove SUPERADMIN_SECRET viene configurato per abilitare funzionalità amministrative avanzate — trasformano il path traversal in un vettore di compromissione completa della piattaforma.
Nextcloud Flow: quando l'integrazione diventa aggravante
Un vettore di rischio distinto emerge nelle installazioni che incorporano Windmill tramite Nextcloud Flow. Secondo l'analisi tecnica di SecNews, che cita un advisory Nextcloud, in questa configurazione il file windmill_users_config.json espone token amministrativi in chiaro. La combinazione del path traversal su Windmill con la leak di credenziali Nextcloud consente esecuzione remota di codice come root nel container.
Caitlin Condon, VP di security research presso VulnCheck, ha confermato via LinkedIn che gli exploit osservati mirano sia agli endpoint Windmill diretti sia ai percorsi proxy Nextcloud: "We've observed exploits aimed at both direct Windmill endpoints and the Nextcloud proxy path".
La doppia superficie d'attacco — installazioni Windmill standalone e deployment Nextcloud Flow — spiega la distribuzione geografica ampia e la persistenza dell'exploit anche dopo la divulgazione pubblica.
Il problema del tempo: sei mesi di patch ignorata
La versione 1.603.3 di Windmill, che introduce controlli di sanificazione sul parametro filename, è stata rilasciata a gennaio 2026. Il CVE è stato divulgato a marzo 2026. L'exploit attivo è documentato dal 22 luglio 2026. L'intervallo di almeno sei mesi tra patch e exploitation massiccia illustra un pattern ricorrente nelle piattaforme di automazione interne.
Windmill è tipicamente deployato come strumento di orchestrazione per workflow aziendali, spesso in sottoreti ritenute protette o con esposizione limitata. Questa percezione di "tool interno" riduce la priorità dei processi di patch management, trasformando le istanze in obiettivi a bassa visibilità per gli attaccanti. Secondo i dati VulnCheck citati da National CIO Review, le circa 170 istanze vulnerabili esposte sono distribuite in 24 paesi, con concentrazione presumibile in ambienti cloud e containerizzati.
Il disallineamento tra disponibilità della correzione e applicazione operativa non è tecnico ma organizzativo: le piattaforme di sviluppo e automazione mancano spesso delle pipeline di aggiornamento automatico che caratterizzano i servizi di produzione customer-facing.
"Circa 170 sistemi Windmill esposti in 24 paesi risultano vulnerabili a CVE-2026-29059, con exploit attivi documentati da VulnCheck contro/etc/passwde/proc/1/environ"
Cosa fare adesso
Le azioni prioritarie per le organizzazioni che utilizzano Windmill derivano direttamente dai fatti documentati dalle fonti:
- Aggiornare immediatamente a Windmill 1.603.3 o successiva, verificando che la sanificazione del parametro filename sia attiva nella configurazione deployata
- Verificare se
SUPERADMIN_SECRETè configurata nelle istanze esposte; in caso affermativo, ruotare il valore dopo il patching poiché potrebbe essere stato compromesso - Controllare i log di accesso all'endpoint
get_log_fileper sequenze../o richieste a/proc/1/environe/etc/passwd, indicatori dell'exploit osservato - Valutare l'esposizione Internet delle istanze Windmill, incluse quelle raggiungibili tramite proxy Nextcloud, e ridurre la superficie d'attacco dove l'accesso esterno non è necessario
La lezione: gli strumenti dello sviluppatore sono l'ultima catena mancante
La cronaca di CVE-2026-29059 non è quella di una zero-day sofisticata ma di una patch dimenticata in una categoria di software — piattaforme di automazione interne — che le organizzazioni non classificano come critica. La bassa visibilità delle istanze Windmill, la mancanza di processi di aggiornamento automatico e l'assunzione che "non sia esposto" creano una lacuna sistematica che gli attaccanti sanno sfruttare.
Il caso Nextcloud Flow aggiunge un elemento specifico: quando piattaforme di automazione vengono integrate in ecosistemi più ampi, la compromissione di un componente secondario si propaga con privilegi elevati nel sistema primario. La rotazione delle credenziali, in questo scenario, non è una misura opzionale post-patch ma un passaggio obbligatorio poiché la durata della finestra di esposizione precedente all'aggiornamento rimane indeterminata.
Il dato VulnCheck di 170 sistemi vulnerabili in 24 paesi, pur rappresentando una superficie relativamente contenuta, indica una presenza distribuita e persistente che richiede interventi mirati piuttosto che allarmismo generalizzato. La sfida è individuare queste istanze nei propri ambienti prima che gli attaccanti lo facciano.
Fonti
- https://thehackernews.com/2026/07/hackers-exploit-windmill-flaw-to-read.html
- https://www.secnews.gr/en/723173/cve-2026-29059-windmill-path-traversal/
- https://nvd.nist.gov/vuln/detail/CVE-2026-29059
- https://nationalcioreview.com/articles-insights/extra-bytes/windmill-and-sharepoint-vulnerabilities-fuel-fresh-enterprise-attacks/
- https://gbhackers.com/windmill-developer-platform-flaws/
- https://nvd.nist.gov/vuln
- https://nvd.nist.gov/vuln/search
- https://nvd.nist.gov/vuln/categories
- https://nvd.nist.gov/vuln/data-feeds
- https://nvd.nist.gov/vuln/vendor-comments
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.