CVE-2026-26792
KrytyczneStreszczenie
W wersji GL-iNet GL-AR300M16 v4.3.11 zidentyfikowano wiele podatności na wstrzykiwanie poleceń w funkcji set_upgrade, wykorzystujących parametry modem_url, target_version, current_version, firmware_upload, hash_type, hash_value oraz upgrade_type. Te podatności umożliwiają atakującym wykonywanie dowolnych poleceń za pomocą spreparowanego wejścia.
Ocena ryzyka
Organizacja jest narażona na ryzyko nieautoryzowanego dostępu i wykonania złośliwych poleceń, co może prowadzić do poważnych naruszeń bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację oprogramowania do najnowszej wersji, która eliminuje te podatności oraz przeglądanie i ograniczenie dostępu do funkcji związanych z aktualizacją oprogramowania.
Oryginalny opis (angielski, źródło NVD)
GL-iNet GL-AR300M16 v4.3.11 was discovered to contain multiple command injection vulnerabilities in the set_upgrade function via the modem_url, target_version, current_version, firmware_upload, hash_type, hash_value, and upgrade_type parameters. These vulnerabilities allow attackers to execute arbitrary commands via a crafted input.