CVE-2026-19909
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność w parsowaniu plików AIP w PAX Technology Q80 pozwala na podążanie za dowiązaniem symbolicznym, co umożliwia zdalne wykonanie kodu przez atakującego w sieci lokalnej bez uwierzytelnienia.
Ocena ryzyka
Atakujący może wykorzystać instalator do zapisu dowolnych plików, a w połączeniu z innymi podatnościami wykonać kod z uprawnieniami root.
Rekomendacja
Zainstaluj poprawki od producenta PAX Technology dla urządzenia Q80.
Inne podatności w PAX Technology Q80
Zobacz wszystkie- CVE-2026-19910Wysokie
Podatność w instalatorze aplikacji PAX Technology Q80 pozwala na obejście weryfikacji podpisu kryptograficznego, co umożliwia zdalne wykonanie kodu przez atakującego w sieci lokalnej bez uwierzytelnienia.
- CVE-2026-19908Wysokie
Podatność w demonie XCB w PAX Technology Q80 wynika z braku uwierzytelnienia przed udostępnieniem funkcji, co pozwala atakującemu w sieci lokalnej na ujawnienie poufnych informacji i modyfikację konfiguracji.
Oryginalny opis (angielski, źródło NVD)
PAX Technology Q80 AIP File Parsing Link Following Remote Code Execution Vulnerability. This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of PAX Technology Q80. Authentication is not required to exploit this vulnerability. The specific flaw exists within the parsing of AIP files. By creating a symbolic link, an attacker can abuse the installer process to write arbitrary files. An attacker can leverage this in conjunction with other vulnerabilities to execute code in the context of root. Was ZDI-CAN-30583.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS