CVE-2026-61517

WysokieCVSS 7.2

Opublikowano: 08/09/2026(UTC)Przetłumaczono: 08/09/2026(UTC)NVD NIST

Streszczenie

W oprogramowaniu Netis NX10 w wersjach V4.0.1.5808 i V3.0.0.4142 wykryto podatność wstrzykiwania poleceń systemu operacyjnego w obsłudze diagnostyki ping. Uwierzytelniony administrator może wykonać dowolne polecenia powłoki jako root, wstrzykując do parametru IpAddr. Parametr jest interpolowany bezpośrednio do polecenia powłoki z niekompletną listą blokowanych znaków.

Ocena ryzyka

Uwierzytelniony administrator (lub osoba, która zdobędzie jego poświadczenia) może uzyskać pełną kontrolę nad urządzeniem, co może prowadzić do naruszenia bezpieczeństwa sieci.

Rekomendacja

Należy zaktualizować firmware Netis NX10 do najnowszej wersji, jeśli dostępna jest poprawka. Ograniczyć dostęp do panelu administracyjnego i stosować silne hasła.

Inne podatności w Netis NX10

CVE-2026-61516Krytyczne
Firmware Netis NX10 w wersjach V4.0.1.5808 i V3.0.0.4142 zawiera podatność na ujawnienie informacji, która pozwala nieuwierzytelnionym atakującym na odzyskanie hasła administratora poprzez wysłanie żądania do akcji sysinfo w interfejsie zarządzania siecią bez ważnej sesji.

Oryginalny opis (angielski, źródło NVD)

Netis NX10 firmware V4.0.1.5808 and V3.0.0.4142 contain an OS command injection vulnerability in the ping diagnostic handler that allows authenticated administrators to execute arbitrary shell commands as root by injecting into the IpAddr parameter. The parameter is interpolated directly into a shell command executed through system() with an incomplete denylist that only blocks spaces, pipes, semicolons, and ampersands, leaving command substitution and alternate field separator expansion available for exploitation.