CVE-2026-19982
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
Wykryto podatność w urządzeniach GL.iNet BE9300 i MT6000 w wersjach 4.8.x. Problem dotyczy komponentu Firewall-management RPC, gdzie manipulacja argumentami dest_port/dest_ip prowadzi do wstrzyknięcia komend systemu operacyjnego. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 4.9.0 rozwiązuje problem.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne komendy systemowe, co może prowadzić do przejęcia kontroli nad urządzeniem i naruszenia bezpieczeństwa sieci.
Rekomendacja
Należy zaktualizować urządzenia do wersji 4.9.0, która eliminuje podatność.
Inne podatności w GL.iNet
Zobacz wszystkie- CVE-2026-19983Wysokie
Wykryto podatność w urządzeniach GL.iNet (A1300, AX1800, AXT1800, MT2500, MT3000, MT6000, X3000, XE3000) w wersjach 4.8.x. Problem dotyczy pliku /usr/bin/gl_nas_sys w komponencie NAS Command Service, co umożliwia wstrzyknięcie komend systemu operacyjnego. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 4.9.0 rozwiązuje problem.
- CVE-2026-19981Wysokie
Wykryto podatność w wielu urządzeniach GL.iNet (m.in. A1300, AX1800, BE9300, MT6000) w wersjach do 4.8.x. Problem dotyczy funkcji Wi-Fi Timer Power-Schedule, gdzie manipulacja argumentami switch_power/restore_power prowadzi do wstrzyknięcia komend systemu operacyjnego. Atak może być przeprowadzony zdalnie.
- CVE-2026-19980Wysokie
Wykryto podatność w wielu urządzeniach GL.iNet (m.in. A1300, AX1800, BE9300, MT6000) w wersjach do 4.8.x. Problem dotyczy funkcji ui.update_langs w komponencie Language Update, gdzie manipulacja argumentami hour/min/week prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie.
- CVE-2026-19979Wysokie
Wykryto podatność w wielu urządzeniach GL.iNet (m.in. A1300, AX1800, BE9300, MT6000) w wersjach do 4.8.x. Problem dotyczy funkcji COPY/MOVE w komponencie WebDAV Service, co prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie.
- CVE-2026-18585Średnie
Podatność w routerach GL.iNet (modele MT3000, MT6000, BE9300, BE3600, MT3600BE, E5800, BE6500, MT5000, X3000, XE3000, MT2500) do wersji 20260707 dotyczy funkcji nas-web.get_file_list w module APPS-NAS. Manipulacja prowadzi do przepełnienia bufora sterty. Atak jest możliwy zdalnie. Producent potwierdził istnienie luki.
- CVE-2026-18584Średnie
W urządzeniach GL.iNet E5800, E750, X2000, X3000, XE3000 i XE300 do wersji 20260707 wykryto podatność w komponencie eSIM LPA API. Nieznana funkcja w pliku /sdk/v1 prowadzi do nieprawidłowej autoryzacji. Atak możliwy tylko z sieci lokalnej.
- CVE-2026-11505Średnie
Podatność w routerach GL.iNet (wiele modeli) z oprogramowaniem 4.8.x polega na użyciu zakodowanego na stałe klucza kryptograficznego w komponencie glnassys. Atak zdalny jest trudny, ale możliwy.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in GL.iNet BE9300 and MT6000 4.8.x. This vulnerability affects unknown code of the component Firewall-management RPC. The manipulation of the argument dest_port/dest_ip leads to os command injection. The attack may be initiated remotely. Upgrading to version 4.9.0 is able to resolve this issue. The affected component should be upgraded. The vendor explains: "After our investigation, we have confirmed that the vulnerability described (...) does indeed exist."
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS