CVE-2026-18616
KrytyczneCVSS 9.8Streszczenie
GL-iNet GL-MT3000 do wersji 4.4.5 zawiera podatność na iniekcję komend w funkcji server.set_peer pliku /cgi-bin/glc komponentu wg-server.so. Manipulacja argumentem public_key pozwala na zdalne wykonanie dowolnych komend.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia na urządzeniu, co może prowadzić do pełnego przejęcia kontroli nad routerem.
Rekomendacja
Zaktualizuj oprogramowanie GL-MT3000 do najnowszej wersji, która usuwa tę podatność.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in GL-iNet GL-MT3000 up to 4.4.5. The impacted element is the function server.set_peer of the file /cgi-bin/glc of the component wg-server.so Native Plugin. The manipulation of the argument public_key leads to command injection. Remote exploitation of the attack is possible. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure and confirmed the existence of the vulnerability.