Debian GNU/Linux 2.1 (別名 slink) およびフリーズ版
(potato)、開発版 (woody) に収録されている cvsweb のバージョンには、
遠隔地から不正にシェルを利用される危険性があります。
攻撃者が cvs リポジトリへの書き込み権限を持っていた場合、
www-data ユーザとしてサーバ上で任意のコードを実行できてしまいます。
この問題は、現行の安定版リリース (Debian GNU/Linux 2.1)
ではバージョン 109 で、
フリーズ版ディストリビューションではバージョン 1.79-3potato1 で、
開発版ディストリビューションではバージョン 1.86-1 で修正されました。
