CVE-2026-18615
KrytyczneCVSS 9.8Streszczenie
GL-iNet GL-MT3000 do wersji 4.4.5 jest podatny na iniekcję komend w funkcji wg-server.generate_publickey pliku /cgi-bin/glc komponentu wg-server.so. Manipulacja argumentem private_key umożliwia zdalne wykonanie komend.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia na urządzeniu, co może prowadzić do pełnego przejęcia kontroli nad routerem.
Rekomendacja
Zaktualizuj oprogramowanie GL-MT3000 do najnowszej wersji, która usuwa tę podatność.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in GL-iNet GL-MT3000 up to 4.4.5. The affected element is the function wg-server.generate_publickey of the file /cgi-bin/glc of the component wg-server.so Native Plugin. Executing a manipulation of the argument private_key can lead to command injection. The attack may be launched remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure and confirmed the existence of the vulnerability.