CVE-2026-61516

KrytyczneCVSS 9.8

Opublikowano: 08/09/2026(UTC)Przetłumaczono: 08/09/2026(UTC)NVD NIST

Streszczenie

Firmware Netis NX10 w wersjach V4.0.1.5808 i V3.0.0.4142 zawiera podatność na ujawnienie informacji, która pozwala nieuwierzytelnionym atakującym na odzyskanie hasła administratora poprzez wysłanie żądania do akcji sysinfo w interfejsie zarządzania siecią bez ważnej sesji.

Ocena ryzyka

Atakujący może uzyskać hasło administratora i zalogować się do urządzenia, co może prowadzić do pełnej kontroli nad urządzeniem sieciowym i przechwytywania ruchu.

Rekomendacja

Zaleca się aktualizację firmware Netis NX10 do najnowszej wersji oraz ograniczenie dostępu do interfejsu zarządzania tylko z zaufanych sieci.

Inne podatności w Netis NX10

CVE-2026-61517Wysokie
W oprogramowaniu Netis NX10 w wersjach V4.0.1.5808 i V3.0.0.4142 wykryto podatność wstrzykiwania poleceń systemu operacyjnego w obsłudze diagnostyki ping. Uwierzytelniony administrator może wykonać dowolne polecenia powłoki jako root, wstrzykując do parametru IpAddr. Parametr jest interpolowany bezpośrednio do polecenia powłoki z niekompletną listą blokowanych znaków.

Oryginalny opis (angielski, źródło NVD)

Netis NX10 firmware V4.0.1.5808 and V3.0.0.4142 contain an information disclosure vulnerability that allows unauthenticated attackers to retrieve the administrator password by sending a request to the sysinfo action in the web management interface without a valid session. Attackers can replay the exposed credential against the login handler to establish a fully authenticated administrator session on the device.