CVE-2026-19035
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 83 - wyżej niż 83% wszystkich znanych CVE
Streszczenie
W Shibby Tomato 1.28.0000 zidentyfikowano podatność w funkcji new_qoslimit_start pliku /etc/qoslimit. Manipulacja argumentem new_qoslimit_enable prowadzi do wstrzyknięcia komend systemu operacyjnego. Atak może być zainicjowany zdalnie. Exploit jest publicznie dostępny i może być wykorzystany. Projekt jest zastąpiony przez FreshTomato.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne komendy systemowe, co może prowadzić do pełnego przejęcia kontroli nad urządzeniem i naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację do FreshTomato lub innego wspieranego oprogramowania, ponieważ Shibby Tomato nie jest już rozwijany. Należy również ograniczyć dostęp do panelu administracyjnego i usług zdalnych.
Inne podatności w Shibby Tomato
Zobacz wszystkie- CVE-2026-19036Wysokie
W Shibby Tomato 1.28.0000 odkryto lukę bezpieczeństwa w funkcji sub_40F88C pliku /tmp/ppp/wanoptions. Manipulacja argumentem ppp_custom prowadzi do wstrzyknięcia komend systemu operacyjnego. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Projekt jest zastąpiony przez FreshTomato.
- CVE-2026-19034Wysokie
W Shibby Tomato 1.28.0000 stwierdzono podatność w funkcji new_qoslimit_stop w pliku /tmp/qoslimittc_stop.sh. Manipulacja argumentem wan_iface prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie.
- CVE-2026-16097Wysokie
W Shibby Tomato 1.28 w funkcji sub_42537C komponentu Scheduler Name Handler znaleziono podatność na przepełnienie bufora stosu. Manipulacja argumentem a1 umożliwia zdalne wykonanie ataku. Projekt ten został zastąpiony przez FreshTomato.
- CVE-2026-16096Wysokie
W oprogramowaniu Shibby Tomato 1.28 RT-N5x MIPSR2 Build 124 stwierdzono podatność na przepełnienie bufora stosu w funkcji sub_40BB50 pliku /proc/webmon_recent_domains. Atak może być przeprowadzony zdalnie. Projekt jest zastąpiony przez FreshTomato.
- CVE-2026-16095Wysokie
W Shibby Tomato 1.28 RT-N5x MIPSR2 Build 124 wykryto podatność w funkcji setup_conntrack w pliku /sbin/rc. Manipulacja argumentem ct_tcp_timeout może prowadzić do zapisu poza dozwolonym obszarem pamięci. Atak może być przeprowadzony zdalnie.
- CVE-2026-15548Wysokie
W Shibby Tomato do wersji 1.28.0000 wykryto podatność w funkcji sub_407220 pliku /usr/sbin/httpd w komponencie renderowania listy DNS. Manipulacja prowadzi do przepełnienia bufora na stosie, co może być wykorzystane zdalnie. Projekt jest zastąpiony przez FreshTomato.
- CVE-2026-15547Średnie
W Shibby Tomato do wersji 1.28.0000 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji sub_2D048 komponentu CIFS Mount Handler. Manipulacja argumentem cifs1/cifs2 umożliwia zdalne wykonanie dowolnych poleceń. Exploit został opublikowany, co zwiększa ryzyko ataku.
- CVE-2026-15546Średnie
W Shibby Tomato do wersji 1.28.0000 wykryto podatność w funkcji sub_2D568 komponentu start_jffs2. Manipulacja argumentem jffs2_exec prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-15544Wysokie
W Shibby Tomato do wersji 1.28.0000 w komponencie apcupsd funkcja getupsvar w pliku www/apcupsd/tomatodata.cgi jest podatna na przepełnienie bufora stosu poprzez argument Field. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-10873Wysokie
Podatność w Shibby Tomato 1.28.0000 w funkcji rstats_path w pliku /bin/rstats w komponencie Web UI. Manipulacja może prowadzić do zdalnego wstrzyknięcia poleceń systemu operacyjnego. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in Shibby Tomato 1.28.0000. Affected by this issue is the function new_qoslimit_start of the file /etc/qoslimit. The manipulation of the argument new_qoslimit_enable leads to os command injection. The attack may be initiated remotely. The exploit is publicly available and might be used. This project is superseded by FreshTomato.