CVE-2026-19979
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Wykryto podatność w wielu urządzeniach GL.iNet (m.in. A1300, AX1800, BE9300, MT6000) w wersjach do 4.8.x. Problem dotyczy funkcji COPY/MOVE w komponencie WebDAV Service, co prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do zasobów WebDAV, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji oprogramowania, która usuwa podatność.
Inne podatności w GL.iNet
Zobacz wszystkie- CVE-2026-19983Wysokie
Wykryto podatność w urządzeniach GL.iNet (A1300, AX1800, AXT1800, MT2500, MT3000, MT6000, X3000, XE3000) w wersjach 4.8.x. Problem dotyczy pliku /usr/bin/gl_nas_sys w komponencie NAS Command Service, co umożliwia wstrzyknięcie komend systemu operacyjnego. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 4.9.0 rozwiązuje problem.
- CVE-2026-19982Wysokie
Wykryto podatność w urządzeniach GL.iNet BE9300 i MT6000 w wersjach 4.8.x. Problem dotyczy komponentu Firewall-management RPC, gdzie manipulacja argumentami dest_port/dest_ip prowadzi do wstrzyknięcia komend systemu operacyjnego. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 4.9.0 rozwiązuje problem.
- CVE-2026-19981Wysokie
Wykryto podatność w wielu urządzeniach GL.iNet (m.in. A1300, AX1800, BE9300, MT6000) w wersjach do 4.8.x. Problem dotyczy funkcji Wi-Fi Timer Power-Schedule, gdzie manipulacja argumentami switch_power/restore_power prowadzi do wstrzyknięcia komend systemu operacyjnego. Atak może być przeprowadzony zdalnie.
- CVE-2026-19980Wysokie
Wykryto podatność w wielu urządzeniach GL.iNet (m.in. A1300, AX1800, BE9300, MT6000) w wersjach do 4.8.x. Problem dotyczy funkcji ui.update_langs w komponencie Language Update, gdzie manipulacja argumentami hour/min/week prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie.
- CVE-2026-18585Średnie
Podatność w routerach GL.iNet (modele MT3000, MT6000, BE9300, BE3600, MT3600BE, E5800, BE6500, MT5000, X3000, XE3000, MT2500) do wersji 20260707 dotyczy funkcji nas-web.get_file_list w module APPS-NAS. Manipulacja prowadzi do przepełnienia bufora sterty. Atak jest możliwy zdalnie. Producent potwierdził istnienie luki.
- CVE-2026-18584Średnie
W urządzeniach GL.iNet E5800, E750, X2000, X3000, XE3000 i XE300 do wersji 20260707 wykryto podatność w komponencie eSIM LPA API. Nieznana funkcja w pliku /sdk/v1 prowadzi do nieprawidłowej autoryzacji. Atak możliwy tylko z sieci lokalnej.
- CVE-2026-11505Średnie
Podatność w routerach GL.iNet (wiele modeli) z oprogramowaniem 4.8.x polega na użyciu zakodowanego na stałe klucza kryptograficznego w komponencie glnassys. Atak zdalny jest trudny, ale możliwy.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in GL.iNet A1300, AX1800, AXT1800, BE1400, BE3600, BE6500, BE9300, BE10000, E5800, MT2500, MT3000, MT3600BE, MT5000, MT6000, X2000, X3000 and XE3000 up to 4.8.x. Affected by this vulnerability is the function COPY/MOVE of the component WebDAV Service. Such manipulation leads to authorization bypass. It is possible to launch the attack remotely. The vendor explains: "After our investigation, we have confirmed that the vulnerability described (...) does indeed exist."
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS