CVE-2026-36608
HighCVSS 8.8Summary
Router Mercusys AC12G (EU) V1 z oprogramowaniem AC12G(EU)_V1_200909 pozwala na przekierowanie portów zewnętrznych do własnego interfejsu administracyjnego, akceptując jego własny adres IP (192.168.1.1) lub localhost (127.0.0.1) jako InternalClient. Atakujący z sieci LAN, który nie musi się uwierzytelniać, może wystawić panel administracyjny na internet za pomocą jednego żądania SOAP.
Risk Assessment
Ryzyko dla organizacji polega na tym, że nieautoryzowany dostęp do panelu administracyjnego routera może prowadzić do przejęcia kontroli nad urządzeniem oraz potencjalnego dostępu do wewnętrznej sieci. To stwarza poważne zagrożenie dla bezpieczeństwa danych i infrastruktury IT.
Recommendation
Zaleca się wyłączenie funkcji UPnP na routerze oraz zastosowanie silnych zabezpieczeń, takich jak zmiana domyślnych haseł i regularne aktualizowanie oprogramowania routera. Dodatkowo, warto monitorować ruch sieciowy w celu wykrycia nieautoryzowanych prób dostępu.
Original NVD description (English source)
Mercusys AC12G (EU) V1 router with firmware AC12G(EU)_V1_200909 allows UPnP AddPortMapping to forward external ports to the router's own admin interface by accepting its own IP (192.168.1.1) or localhost (127.0.0.1) as InternalClient. An unauthenticated LAN attacker can expose the admin panel to the internet with a single SOAP request.