CVE-2026-108936
NiskieCVSS 2.4Streszczenie
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność XSS w nieznanej części pliku /goform/formQoS (strona QoS). Manipulacja danymi prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może wykonać złośliwy skrypt w przeglądarce administratora, co może prowadzić do przejęcia sesji lub zmiany konfiguracji urządzenia. Brak odpowiedzi producenta oznacza brak oficjalnej poprawki.
Rekomendacja
Ogranicz dostęp do interfejsu administracyjnego urządzenia do zaufanych sieci i rozważ wdrożenie reguł WAF. Monitoruj stanowisko producenta w sprawie aktualizacji i rozważ wymianę urządzenia, jeśli poprawka nie zostanie wydana.
Inne podatności w Edimax BR-6208AC
Zobacz wszystkie- CVE-2026-108935Niskie
W urządzeniu Edimax BR-6208AC w wersji 1.32 zidentyfikowano słabość w nieznanej funkcji pliku /goform/formPortFw (strona przekierowania portów). Manipulacja prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-108934Niskie
W urządzeniu Edimax BR-6208AC w wersji 1.32 odkryto podatność w nieznanej funkcji pliku /goform/formUrlb (strona blokowania HTTP). Manipulacja prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-108933Niskie
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność w nieznanej funkcji pliku /goform/formFilter. Manipulacja prowadzi do podatności na cross site scripting. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-108916Wysokie
Podatność w routerze Edimax BR-6208AC w wersji 1.32 dotyczy nieznanego kodu w pliku /goform/formAccept. Manipulacja argumentem submit-url prowadzi do wstrzyknięcia komend (command injection). Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie, a produkt nie jest już wspierany.
- CVE-2026-7685Wysokie
Wykryto podatność w Edimax BR-6208AC do wersji 1.02, która dotyczy nieznanej funkcji pliku /goform/setWAN. Manipulacja argumentem pptpDfGateway prowadzi do przepełnienia bufora.
- CVE-2026-108918Krytyczne
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto lukę w nieznanej funkcji pliku /goform/formWlanMP. Manipulacja argumentem readE2P prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być wykorzystany.
- CVE-2026-108917Krytyczne
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto lukę w nieznanym fragmencie pliku /goform/formAutoFWupgrade. Manipulacja argumentem tftpsIP prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-108915Krytyczne
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto lukę w nieznanej części pliku /goform/formWlanMP. Manipulacja argumentem ateBW prowadzi do przepełnienia bufora. Atak można przeprowadzić zdalnie, a exploit został ujawniony publicznie i może być wykorzystany.
- CVE-2026-108914Krytyczne
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność w nieznanej funkcji pliku '/goform/formWlSiteSurvey'. Manipulacja argumentem 'ifname' powoduje przepełnienie bufora, które można wykorzystać zdalnie. Exploit został publicznie ujawniony i może być użyty; producent nie odpowiedział na zgłoszenie, a produkt nie jest już wspierany.
- CVE-2025-70161Krytyczne
Router EDIMAX BR-6208AC w wersji V2_1.02 jest podatny na wstrzykiwanie poleceń. Pole pppUserName jest przekazywane bezpośrednio do funkcji system() bez odpowiedniej sanityzacji, co pozwala atakującemu na wykonanie dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in Edimax BR-6208AC 1.32. This affects an unknown part of the file /goform/formQoS of the component QoS Page. The manipulation leads to cross site scripting. It is possible to initiate the attack remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS