CVE-2026-14818

WysokieCVSS 7.2

Opublikowano: 04/08/2026(UTC)Zaktualizowano: 04/08/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

W oprogramowaniu sprzętowym Zyxel ATP, USG FLEX, USG FLEX 50(W) i USG20(W)-VPN występuje podatność typu path traversal w poleceniu CLI używanym do wykonywania plików konfiguracyjnych. Uwierzytelniony atakujący z uprawnieniami administratora może wykonać złośliwy plik konfiguracyjny na urządzeniu.

Ocena ryzyka

Atakujący administrator może przejąć kontrolę nad urządzeniem, zmienić konfigurację lub wykonać złośliwy kod, co może naruszyć bezpieczeństwo sieci.

Rekomendacja

Zaleca się aktualizację oprogramowania sprzętowego do najnowszej wersji, która zawiera poprawkę eliminującą podatność path traversal.

Inne podatności w Zyxel ATP/USG FLEX

CVE-2024-11667WysokieAktywnie exploitowane
Podatność na directory traversal w interfejsie zarządzania przez przeglądarkę w oprogramowaniu sprzętowym serii Zyxel ATP (wersje V5.00-V5.38), USG FLEX (V5.00-V5.38), USG FLEX 50(W) (V5.10-V5.38) i USG20(W)-VPN (V5.10-V5.38) pozwala atakującemu na pobieranie lub przesyłanie plików za pomocą spreparowanego URL.

Oryginalny opis (angielski, źródło NVD)

A path traversal vulnerability in the CLI command used to execute configuration files in Zyxel ATP series firmware versions from V4.32 through V5.42 Patch 1, USG FLEX series firmware versions from V4.50 through V5.42 Patch 1, USG FLEX 50(W) series firmware versions from V4.16 through V5.42 Patch 1, and USG20(W)-VPN series firmware versions from V4.16 through V5.42 Patch 1 could allow an authenticated attacker with administrator privileges to execute a crafted malicious configuration file on an affected device.