CVE-2024-28328
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W routerze Asus RT-N12+ wykryto podatność na wstrzykiwanie CSV, która umożliwia administratorowi wstrzyknięcie dowolnych poleceń lub formuł w parametrze nazwy klienta. Po wyeksportowaniu danych do formatu CSV, wstrzyknięty kod może zostać uruchomiony w sesji innego użytkownika.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania złośliwych poleceń na komputerze innego użytkownika, który otworzy wyeksportowany plik CSV, co może prowadzić do kradzieży danych lub przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się natychmiastową aktualizację oprogramowania routera Asus RT-N12+ do najnowszej wersji, która usuwa tę podatność. Ponadto należy unikać otwierania plików CSV pochodzących z niezaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
CSV Injection vulnerability in the Asus RT-N12+ router allows administrator users to inject arbitrary commands or formulas in the client name parameter which can be triggered and executed in a different user session upon exporting to CSV format.