CVE-2026-18686
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 84 - wyżej niż 84% wszystkich znanych CVE
Streszczenie
Wykryto podatność w GL.iNet GL-MT3000 do wersji 4.4.5. Dotyczy ona funkcji nas-web.add_user w pliku /cgi-bin/glc komponentu nas-web RPC Wrapper. Manipulacja prowadzi do wstrzyknięcia komend, a atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być wykorzystany.
Ocena ryzyka
Ryzyko zdalnego przejęcia kontroli nad urządzeniem lub wykonania nieautoryzowanych komend, co może prowadzić do naruszenia integralności i poufności danych.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie oprogramowania do wersji nowszej niż 4.4.5 oraz ograniczenie dostępu do panelu administracyjnego.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in GL.iNet GL-MT3000 up to 4.4.5. The affected element is the function nas-web.add_user of the file /cgi-bin/glc of the component nas-web RPC Wrapper. Performing a manipulation results in command injection. The attack can be initiated remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure and confirmed the existence of the vulnerability.