CVE-2026-36828
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 74 - wyżej niż 74% wszystkich znanych CVE
Streszczenie
Podatność na wstrzyknięcie komend w endpointcie /cgi-bin/tools/ajax_cmd w Panabit PAP-XM320 do wersji v7.7. Uwierzytelniony użytkownik może wykonać dowolne komendy powłoki z uprawnieniami roota poprzez parametr action=runcmd.
Ocena ryzyka
Atakujący z dostępem do panelu administracyjnego może całkowicie przejąć kontrolę nad urządzeniem, wykonać dowolne polecenia i naruszyć bezpieczeństwo sieci.
Rekomendacja
Zaktualizuj oprogramowanie Panabit PAP-XM320 do wersji nowszej niż v7.7 lub zastosuj dostępną łatkę.
Inne podatności w Panabit PAP-XM320
Zobacz wszystkie- CVE-2026-36829Krytyczne
Wbudowany serwer HTTP w Panabit PAP-XM320 do wersji 7.7 włącznie nie sprawdza poprawności wartości ciasteczka sesji, co umożliwia ominięcie uwierzytelnienia przez atak typu directory traversal.
- CVE-2026-36827Średnie
Podatność na wstrzyknięcie komend w Panabit PAP-XM320 do wersji V7.7 włącznie. Interfejs zarządzania wywołuje /usr/sbin/pappiw z parametrami sterowanymi przez użytkownika, które są przetwarzane przez eval, umożliwiając wykonanie dowolnych komend powłoki.
Oryginalny opis (angielski, źródło NVD)
A command injection vulnerability exists in the /cgi-bin/tools/ajax_cmd endpoint of Panabit PAP-XM320 up to and including v7.7. The CGI component allows authenticated users to execute arbitrary shell commands with root privileges via the action=runcmd parameter.