CVE-2026-101263
KrytyczneCVSS 9.1Streszczenie
W produkcie Ziroom ZHOME A0101 w wersji 1.0.1.0 znaleziono podatność w nieznanym przetwarzaniu pliku /api/ZRQos/set_online_client. Manipulacja argumentem mac prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia na urządzeniu, co może prowadzić do pełnej kompromitacji urządzenia i naruszenia integralności sieci.
Rekomendacja
Należy zaktualizować oprogramowanie urządzenia, jeśli dostępna jest poprawka, oraz monitorować ruch sieciowy pod kątem podejrzanych żądań do API.
Inne podatności w Ziroom ZHOME A0101
Zobacz wszystkie- CVE-2026-101264Krytyczne
W produkcie Ziroom ZHOME A0101 w wersji 1.0.1.0 znaleziono podatność w nieznanej funkcji pliku /api/ZRnetwork/set_passwd. Manipulacja argumentem password1 powoduje wstrzyknięcie poleceń. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-101262Krytyczne
Podatność w urządzeniu Ziroom ZHOME A0101 w wersji 1.0.1.0 dotyczy nieznanego kodu w pliku /api/ZRQos/set_online_client. Manipulacja argumentem ip prowadzi do wstrzyknięcia komend. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-101261Krytyczne
Wada w urządzeniu Ziroom ZHOME A0101 w wersji 1.0.1.0 dotyczy nieznanej części pliku /api/ZRnetwork/firstSetup_wifi. Manipulacja argumentem login_pwd prowadzi do wstrzyknięcia komend. Atak może być przeprowadzony zdalnie, a exploit jest opublikowany.
- CVE-2026-101260Krytyczne
Wykryto podatność w urządzeniu Ziroom ZHOME A0101 w wersji 1.0.1.0, dotyczącą nieznanej funkcjonalności pliku /api/ZRnetwork/firstLogin. Manipulacja argumentem firstLogin prowadzi do wstrzyknięcia komend. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-101187Krytyczne
Słabość w urządzeniu Ziroom ZHOME A0101 w wersji 1.0.1.0 dotyczy funkcji pop_usb_device w pliku usr/lib/lua/luci/controller/api/zrUsb.lua w komponencie API zarządzania urządzeniami USB. Manipulacja argumentem path powoduje wstrzyknięcie komend. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in Ziroom ZHOME A0101 1.0.1.0. This issue affects some unknown processing of the file /api/ZRQos/set_online_client. The manipulation of the argument mac results in command injection. It is possible to launch the attack remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS