CVE-2026-108907
KrytyczneCVSS 10.0Streszczenie
W urządzeniu Netcore NR268 w wersji 1.7.121109 wykryto podatność w funkcji 'user_ok' komponentu CGI Execution. Manipulacja tą funkcją prowadzi do nieprawidłowego uwierzytelniania, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może ominąć uwierzytelnianie i uzyskać dostęp do funkcji urządzenia. Może to prowadzić do nieautoryzowanej zmiany konfiguracji lub wykorzystania urządzenia jako punktu wejścia do sieci.
Rekomendacja
Należy sprawdzić, czy producent udostępnił poprawkę, i w razie dostępności zaktualizować firmware Netcore NR268. Jeśli brak wsparcia, zaleca się wymianę urządzenia lub odizolowanie go i ograniczenie dostępu do interfejsu zarządzania.
Inne podatności w Netcore NR268
Zobacz wszystkie- CVE-2026-108909Średnie
Wykryto lukę bezpieczeństwa w Netcore NR268 1.7.121109. Dotyczy ona nieznanej funkcjonalności komponentu CGI Endpoint. Manipulacja prowadzi do fałszerstwa żądań między witrynami (CSRF). Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Producent został poinformowany wcześnie, ale nie odpowiedział.
- CVE-2026-108906Wysokie
W Netcore NR268 w wersji 1.7.121109 znaleziono podatność. Dotyczy ona funkcji filter_arp_put_file_cgi w pliku /router/filter_arp_put_file.cgi. Manipulacja argumentem put_file prowadzi do odczytu poza zakresem. Atak może być zainicjowany zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został wcześnie poinformowany, ale nie odpowiedział.
- CVE-2026-76853Wysokie
Podatność w oprogramowaniu Netcore NR268 w wersji 1.7.121109 to obejście kontroli bezpieczeństwa w walidacji prefiksu archiwum przywracania w parame_put_file.cgi. Atakujący mogą wykorzystać wadliwą kontrolę prefiksu w put_parame_file_cgi.c, aby obejść ograniczenia dotyczące obsługi archiwów przywracania.
- CVE-2026-76852Wysokie
Firmware Netcore NR268 w wersji 1.7.121109 ma wadę weryfikacji integralności w mtd_write, co pozwala na sfałszowanie autentyczności firmware. Atakujący mogą wykorzystać put_file.cgi i check_image_uuid.c, aby ominąć walidację podpisu i załadować nieautoryzowane obrazy firmware.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in Netcore NR268 1.7.121109. Affected is the function user_ok of the component CGI Execution. This manipulation causes improper authentication. The attack can be initiated remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS