CVE-2025-56088
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 89 - wyżej niż 89% wszystkich znanych CVE
Streszczenie
W urządzeniu Ruijie RG-BCR860 występuje podatność typu OS Command Injection, która pozwala atakującym na wykonanie dowolnych poleceń poprzez spreparowane żądanie POST do akcji action_service w pliku /usr/lib/lua/luci/controller/admin/service.lua.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia systemowe na urządzeniu, co może prowadzić do pełnego przejęcia kontroli nad routerem i siecią.
Rekomendacja
Zaktualizuj oprogramowanie urządzenia Ruijie RG-BCR860 do najnowszej wersji zawierającej poprawkę; jeśli aktualizacja nie jest dostępna, ogranicz dostęp do interfejsu administracyjnego i monitoruj podejrzany ruch.
Inne podatności w Ruijie RG-BCR860
Zobacz wszystkie- CVE-2025-56129Wysokie
Podatność typu OS Command Injection w urządzeniu Ruijie RG-BCR (model RG-BCR860) pozwala atakującemu na wykonanie dowolnych poleceń systemowych poprzez spreparowane żądanie POST do akcji action_diagnosis w pliku /usr/lib/lua/luci/controller/admin/diagnosis.lua.
- CVE-2025-56111Wysokie
Podatność typu OS Command Injection w urządzeniu Ruijie RG-BCR860. Atakujący może wykonać dowolne polecenia systemowe poprzez spreparowane żądanie POST do funkcji network_set_wan_conf w pliku /usr/lib/lua/luci/controller/admin/netport.lua.
- CVE-2025-56110Wysokie
Podatność typu OS Command Injection w urządzeniu Ruijie RG-BCR860. Atakujący może wykonać dowolne polecenia systemowe poprzez spreparowane żądanie POST do funkcji action_deal_update w pliku /usr/lib/lua/luci/controller/api/rcmsAPI.lua.
- CVE-2025-56109Wysokie
Podatność typu OS Command Injection w urządzeniu Ruijie RG-BCR860. Atakujący może wykonać dowolne polecenia systemowe poprzez spreparowane żądanie POST do funkcji action_wireless w pliku /usr/lib/lua/luci/control/admin/wireless.lua.
Oryginalny opis (angielski, źródło NVD)
OS Command Injection vulnerability in Ruijie RG-BCR RG-BCR860 allowing attackers to execute arbitrary commands via a crafted POST request to the action_service in file /usr/lib/lua/luci/controller/admin/service.lua.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS