CVE-2026-15546
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 - wyżej niż 60% wszystkich znanych CVE
Streszczenie
W Shibby Tomato do wersji 1.28.0000 wykryto podatność w funkcji sub_2D568 komponentu start_jffs2. Manipulacja argumentem jffs2_exec prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Ocena ryzyka
Organizacja narażona jest na zdalne przejęcie kontroli nad urządzeniem z Tomato, co może umożliwić atakującemu wykonanie dowolnych poleceń i eskalację uprawnień.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie do FreshTomato, ponieważ Shibby Tomato nie jest już wspierane. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do interfejsu zarządzania.
Inne podatności w Shibby Tomato
Zobacz wszystkie- CVE-2026-19036Wysokie
W Shibby Tomato 1.28.0000 odkryto lukę bezpieczeństwa w funkcji sub_40F88C pliku /tmp/ppp/wanoptions. Manipulacja argumentem ppp_custom prowadzi do wstrzyknięcia komend systemu operacyjnego. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Projekt jest zastąpiony przez FreshTomato.
- CVE-2026-19035Wysokie
W Shibby Tomato 1.28.0000 zidentyfikowano podatność w funkcji new_qoslimit_start pliku /etc/qoslimit. Manipulacja argumentem new_qoslimit_enable prowadzi do wstrzyknięcia komend systemu operacyjnego. Atak może być zainicjowany zdalnie. Exploit jest publicznie dostępny i może być wykorzystany. Projekt jest zastąpiony przez FreshTomato.
- CVE-2026-19034Wysokie
W Shibby Tomato 1.28.0000 stwierdzono podatność w funkcji new_qoslimit_stop w pliku /tmp/qoslimittc_stop.sh. Manipulacja argumentem wan_iface prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie.
- CVE-2026-16097Wysokie
W Shibby Tomato 1.28 w funkcji sub_42537C komponentu Scheduler Name Handler znaleziono podatność na przepełnienie bufora stosu. Manipulacja argumentem a1 umożliwia zdalne wykonanie ataku. Projekt ten został zastąpiony przez FreshTomato.
- CVE-2026-16096Wysokie
W oprogramowaniu Shibby Tomato 1.28 RT-N5x MIPSR2 Build 124 stwierdzono podatność na przepełnienie bufora stosu w funkcji sub_40BB50 pliku /proc/webmon_recent_domains. Atak może być przeprowadzony zdalnie. Projekt jest zastąpiony przez FreshTomato.
- CVE-2026-16095Wysokie
W Shibby Tomato 1.28 RT-N5x MIPSR2 Build 124 wykryto podatność w funkcji setup_conntrack w pliku /sbin/rc. Manipulacja argumentem ct_tcp_timeout może prowadzić do zapisu poza dozwolonym obszarem pamięci. Atak może być przeprowadzony zdalnie.
- CVE-2026-15548Wysokie
W Shibby Tomato do wersji 1.28.0000 wykryto podatność w funkcji sub_407220 pliku /usr/sbin/httpd w komponencie renderowania listy DNS. Manipulacja prowadzi do przepełnienia bufora na stosie, co może być wykorzystane zdalnie. Projekt jest zastąpiony przez FreshTomato.
- CVE-2026-15547Średnie
W Shibby Tomato do wersji 1.28.0000 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji sub_2D048 komponentu CIFS Mount Handler. Manipulacja argumentem cifs1/cifs2 umożliwia zdalne wykonanie dowolnych poleceń. Exploit został opublikowany, co zwiększa ryzyko ataku.
- CVE-2026-15544Wysokie
W Shibby Tomato do wersji 1.28.0000 w komponencie apcupsd funkcja getupsvar w pliku www/apcupsd/tomatodata.cgi jest podatna na przepełnienie bufora stosu poprzez argument Field. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-10873Wysokie
Podatność w Shibby Tomato 1.28.0000 w funkcji rstats_path w pliku /bin/rstats w komponencie Web UI. Manipulacja może prowadzić do zdalnego wstrzyknięcia poleceń systemu operacyjnego. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in Shibby Tomato up to 1.28.0000. Affected by this issue is the function sub_2D568 of the component start_jffs2. Performing a manipulation of the argument jffs2_exec results in os command injection. Remote exploitation of the attack is possible. The exploit has been released to the public and may be used for attacks. This project is superseded by FreshTomato.