CVE-2022-50796

KrytyczneCVSS 9.8

Opublikowano: 30/12/2025(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 25/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.59%

Percentyl 75 - wyżej niż 75% wszystkich znanych CVE

Streszczenie

SOUND4 IMPACT/FIRST/PULSE/Eco w wersji <=2.x zawiera podatność na zdalne wykonanie kodu bez uwierzytelnienia w funkcji przesyłania firmware, z błędem przejścia ścieżki (path traversal). Atakujący może wykorzystać skrypt upload.cgi do zapisu złośliwych plików w systemie z uprawnieniami www-data, umożliwiając nieautoryzowany dostęp i wykonanie kodu.

Ocena ryzyka

Nieuwierzytelniony atakujący może zapisać złośliwe pliki i wykonać kod w kontekście www-data, co prowadzi do kompromitacji urządzenia. Może to skutkować pełną utratą poufności, integralności i dostępności.

Rekomendacja

Zaktualizować firmware do wersji nowszej niż 2.x, jeśli dostępna; w przeciwnym razie odizolować urządzenia w sieci i ograniczyć dostęp do interfejsu webowego.

Inne podatności w SOUND4 IMPACT/FIRST/PULSE/Eco

CVE-2023-53964Krytyczne
SOUND4 IMPACT/FIRST/PULSE/Eco w wersji v2.x zawiera nieuwierzytelnioną podatność w endpointcie /usr/cgi-bin/restorefactory.cgi, która pozwala zdalnym atakującym na zresetowanie konfiguracji urządzenia. Atakujący mogą wysłać żądanie POST do endpointu z określonymi danymi, aby wywołać reset fabryczny i ominąć uwierzytelnianie, uzyskując pełną kontrolę nad systemem.

Oryginalny opis (angielski, źródło NVD)

SOUND4 IMPACT/FIRST/PULSE/Eco <=2.x contains an unauthenticated remote code execution vulnerability in the firmware upload functionality with path traversal flaw. Attackers can exploit the upload.cgi script to write malicious files to the system with www-data permissions, enabling unauthorized access and code execution.