CVE-2026-108931
ŚrednieCVSS 4.3Streszczenie
W Netcore NR268 1.7.121109 wykryto lukę w funkcji eval pliku dhcp_dynamicip_show.cgi komponentu DHCP Handler. Manipulacja argumentem Hostname prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony i może być użyty; producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Organizacja korzystająca z Netcore NR268 może być narażona na ataki XSS, które mogą prowadzić do kradzieży sesji, przekierowań lub wykonania złośliwego kodu w przeglądarce administratora. Brak odpowiedzi producenta zwiększa ryzyko braku poprawek.
Rekomendacja
Rozważ zastąpienie lub odizolowanie podatnego urządzenia Netcore NR268, ponieważ producent nie odpowiedział na zgłoszenie. Wdróż filtrowanie danych wejściowych i monitoruj ruch sieciowy pod kątem prób wykorzystania luki.
Inne podatności w Netcore NR268
Zobacz wszystkie- CVE-2026-108932Średnie
W Netcore NR268 1.7.121109 wykryto podatność w funkcji eval pliku filter_hosts_dump.cgi komponentu DHCP Hostname Handler. Manipulacja argumentem Hostname powoduje cross site scripting. Zdalne wykorzystanie ataku jest możliwe. Exploit został publicznie ujawniony i może być wykorzystany. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.
- CVE-2026-108930Niskie
W urządzeniu Netcore NR268 w wersji 1.7.121109 wykryto podatność w funkcji ddns_wan_list_show pliku ddns_wan_list_show.cgi komponentu DDNS Handler. Manipulacja argumentami user_idN/passwordN prowadzi do ujawnienia informacji. Atak może być inicjowany zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-108909Średnie
Wykryto lukę bezpieczeństwa w Netcore NR268 1.7.121109. Dotyczy ona nieznanej funkcjonalności komponentu CGI Endpoint. Manipulacja prowadzi do fałszerstwa żądań między witrynami (CSRF). Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Producent został poinformowany wcześnie, ale nie odpowiedział.
- CVE-2026-108908Niskie
W Netcore NR268 1.7.121109 wykryto podatność w funkcji eval w pliku /router/l7_call_board_user_set.cgi komponentu Web UI. Manipulacja argumentami title/note/URL/content prowadzi do cross-site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-108906Wysokie
W Netcore NR268 w wersji 1.7.121109 znaleziono podatność. Dotyczy ona funkcji filter_arp_put_file_cgi w pliku /router/filter_arp_put_file.cgi. Manipulacja argumentem put_file prowadzi do odczytu poza zakresem. Atak może być zainicjowany zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został wcześnie poinformowany, ale nie odpowiedział.
- CVE-2026-108929Krytyczne
Netcore NR268 w wersji 1.7.121109 zawiera podatność na wstrzykiwanie argumentów w funkcji execvp pliku /router/DDNSset.cgi w komponencie DDNS. Manipulacja argumentem Hostname może prowadzić do wstrzyknięcia argumentów, a atak może być przeprowadzony zdalnie.
- CVE-2026-108907Krytyczne
W urządzeniu Netcore NR268 w wersji 1.7.121109 wykryto podatność w funkcji 'user_ok' komponentu CGI Execution. Manipulacja tą funkcją prowadzi do nieprawidłowego uwierzytelniania, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-76853Wysokie
Podatność w oprogramowaniu Netcore NR268 w wersji 1.7.121109 to obejście kontroli bezpieczeństwa w walidacji prefiksu archiwum przywracania w parame_put_file.cgi. Atakujący mogą wykorzystać wadliwą kontrolę prefiksu w put_parame_file_cgi.c, aby obejść ograniczenia dotyczące obsługi archiwów przywracania.
- CVE-2026-76852Wysokie
Firmware Netcore NR268 w wersji 1.7.121109 ma wadę weryfikacji integralności w mtd_write, co pozwala na sfałszowanie autentyczności firmware. Atakujący mogą wykorzystać put_file.cgi i check_image_uuid.c, aby ominąć walidację podpisu i załadować nieautoryzowane obrazy firmware.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in Netcore NR268 1.7.121109. This affects the function eval of the file dhcp_dynamicip_show.cgi of the component DHCP Handler. The manipulation of the argument Hostname results in cross site scripting. The attack may be launched remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS