CVE-2026-112372
ŚrednieCVSS 6.6Streszczenie
W urządzeniu H3C Magic NX15 V100R017 zidentyfikowano słabość w funkcji importprofile w pliku /api/upload. Manipulacja argumentem fileName powoduje path traversal, a atak można przeprowadzić zdalnie; exploit został publicznie udostępniony.
Ocena ryzyka
Zdalny atakujący może wykorzystać path traversal do nieautoryzowanego dostępu do plików lub zapisu poza zamierzonym katalogiem. Ponieważ exploit jest publicznie dostępny, ryzyko aktywnego wykorzystania jest wysokie.
Rekomendacja
Zaktualizuj oprogramowanie H3C Magic NX15 do wersji z poprawką lub zastosuj środki zaradcze zalecane przez producenta. Do czasu aktualizacji ogranicz dostęp do interfejsu zarządzania urządzenia.
Inne podatności w H3C Magic NX15
Zobacz wszystkie- CVE-2026-112371Krytyczne
W urządzeniu H3C Magic NX15 (wersja NX15V100R017) w funkcji write pliku /api/esps interfejsu RPC manipulacja argumentem path może prowadzić do wstrzyknięcia kodu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-112370Krytyczne
W H3C Magic NX15 100R017 funkcja sub_416874 w pliku /usr/bin/usrlist pozwala na wstrzyknięcie poleceń systemu operacyjnego. Możliwa jest zdalna eksploatacja, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in H3C Magic NX15 V100R017. This affects the function importprofile of the file /api/upload. This manipulation of the argument fileName causes path traversal. It is possible to initiate the attack remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS