CVE-2026-63586
KrytyczneCVSS 9.8Streszczenie
Interfejs zarządzania oparty na sieci Web używa zmodyfikowanego serwera uhttpd ze skryptami CGI w powłoce. Nazwa użytkownika HTTP Basic Authentication, pobierana bezpośrednio z nagłówka Authorization bez sanityzacji, jest wstawiana do ciągu poleceń powłoki wykonywanego przez funkcję system(). Przesyłając specjalnie spreparowaną nazwę użytkownika zawierającą metaznaki powłoki, nieuwierzytelniony atakujący z dostępem sieciowym do urządzenia może uciec z kontekstu poleceń i wykonać dowolne polecenia z uprawnieniami roota.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad urządzeniem, co może prowadzić do naruszenia integralności systemu, kradzieży danych lub wykorzystania urządzenia do dalszych ataków.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie urządzenia do wersji, która zawiera poprawkę tej luki, oraz ograniczyć dostęp sieciowy do interfejsu zarządzania.
Oryginalny opis (angielski, źródło NVD)
The web-based management interface uses a modified uhttpd server with CGI shell scripts. The HTTP Basic Authentication username, taken directly from the Authorization header without sanitization, is inserted into a shell command string executed via the system() function. By submitting a specially crafted username containing shell metacharacters, an unauthenticated attacker with network access to the device can escape the command context and execute arbitrary commands with root privileges.