CVE-2026-19745

ŚrednieCVSS 4.3

Opublikowano: 13/08/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.47%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

W Calix GigaSpire 26.1.0 wykryto podatność w nieznanej funkcji pliku utilities_configurationsave.cgi komponentu Web Management Interface. Manipulacja argumentem sessionKey może prowadzić do odmowy usługi (DoS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Istnienie podatności jest obecnie kwestionowane przez producenta, który twierdzi, że zaobserwowane opóźnienie wynika z oczekiwanego obsługi przekroczenia limitu czasu wejścia, a nie z awarii.

Ocena ryzyka

Potencjalny atakujący może zdalnie wywołać odmowę usługi, co może zakłócić dostępność interfejsu zarządzania. Ze względu na spór z producentem rzeczywiste ryzyko wymaga dalszej weryfikacji.

Rekomendacja

Monitoruj oficjalne komunikaty producenta Calix dotyczące tej podatności i w razie potrzeby zastosuj dostępne aktualizacje. Ogranicz dostęp do interfejsu zarządzania z niezaufanych sieci.

Inne podatności w Calix GigaSpire

CVE-2026-19746Średnie
W Calix GigaSpire 26.1.0 wykryto podatność w nieznanej funkcji pliku traceroute.cmd, która prowadzi do odmowy usługi (DoS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Istnienie podatności jest obecnie niepewne, ponieważ producent twierdzi, że nie zaobserwował przerwania sesji ani utraty dostępności interfejsu EWI podczas testów.

Oryginalny opis (angielski, źródło NVD)

A flaw has been found in Calix GigaSpire 26.1.0. Impacted is an unknown function of the file utilities_configurationsave.cgi of the component Web Management Interface. Executing a manipulation of the argument sessionKey can lead to denial of service. The attack can be launched remotely. The exploit has been published and may be used. The existence of this vulnerability is still disputed at present. The vendor explains: "We reproduced the reported request pattern. The observed delay results from expected input-timeout handling while the handler waits for input data. We did not observe a backend crash, resource exhaustion, service instability, or loss of EWI availability, and the interface remained accessible during and after testing."

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS