CVE-2026-18584
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W urządzeniach GL.iNet E5800, E750, X2000, X3000, XE3000 i XE300 do wersji 20260707 wykryto podatność w komponencie eSIM LPA API. Nieznana funkcja w pliku /sdk/v1 prowadzi do nieprawidłowej autoryzacji. Atak możliwy tylko z sieci lokalnej.
Ocena ryzyka
Osoba atakująca z sieci lokalnej może uzyskać nieautoryzowany dostęp do funkcji eSIM LPA API, co może prowadzić do naruszenia konfiguracji lub danych.
Rekomendacja
Zaleca się aktualizację oprogramowania sprzętowego urządzeń GL.iNet do najnowszej wersji, gdy tylko producent udostępni poprawkę.
Inne podatności w GL.iNet
Zobacz wszystkie- CVE-2026-19983Wysokie
Wykryto podatność w urządzeniach GL.iNet (A1300, AX1800, AXT1800, MT2500, MT3000, MT6000, X3000, XE3000) w wersjach 4.8.x. Problem dotyczy pliku /usr/bin/gl_nas_sys w komponencie NAS Command Service, co umożliwia wstrzyknięcie komend systemu operacyjnego. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 4.9.0 rozwiązuje problem.
- CVE-2026-19982Wysokie
Wykryto podatność w urządzeniach GL.iNet BE9300 i MT6000 w wersjach 4.8.x. Problem dotyczy komponentu Firewall-management RPC, gdzie manipulacja argumentami dest_port/dest_ip prowadzi do wstrzyknięcia komend systemu operacyjnego. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 4.9.0 rozwiązuje problem.
- CVE-2026-19981Wysokie
Wykryto podatność w wielu urządzeniach GL.iNet (m.in. A1300, AX1800, BE9300, MT6000) w wersjach do 4.8.x. Problem dotyczy funkcji Wi-Fi Timer Power-Schedule, gdzie manipulacja argumentami switch_power/restore_power prowadzi do wstrzyknięcia komend systemu operacyjnego. Atak może być przeprowadzony zdalnie.
- CVE-2026-19980Wysokie
Wykryto podatność w wielu urządzeniach GL.iNet (m.in. A1300, AX1800, BE9300, MT6000) w wersjach do 4.8.x. Problem dotyczy funkcji ui.update_langs w komponencie Language Update, gdzie manipulacja argumentami hour/min/week prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie.
- CVE-2026-19979Wysokie
Wykryto podatność w wielu urządzeniach GL.iNet (m.in. A1300, AX1800, BE9300, MT6000) w wersjach do 4.8.x. Problem dotyczy funkcji COPY/MOVE w komponencie WebDAV Service, co prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie.
- CVE-2026-18585Średnie
Podatność w routerach GL.iNet (modele MT3000, MT6000, BE9300, BE3600, MT3600BE, E5800, BE6500, MT5000, X3000, XE3000, MT2500) do wersji 20260707 dotyczy funkcji nas-web.get_file_list w module APPS-NAS. Manipulacja prowadzi do przepełnienia bufora sterty. Atak jest możliwy zdalnie. Producent potwierdził istnienie luki.
- CVE-2026-11505Średnie
Podatność w routerach GL.iNet (wiele modeli) z oprogramowaniem 4.8.x polega na użyciu zakodowanego na stałe klucza kryptograficznego w komponencie glnassys. Atak zdalny jest trudny, ale możliwy.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in GL.iNet E5800, E750, X2000, X3000, XE3000 and XE300 up to 20260707. Impacted is an unknown function of the file /sdk/v1 of the component eSIM LPA API. Such manipulation leads to improper authorization. The attack can only be initiated within the local network. The vendor was contacted early about this disclosure and confirmed the existence of the vulnerability.