CVE-2026-6644
KrytyczneStreszczenie
W kliencie PPTP VPN na ADM odkryto podatność na wstrzykiwanie poleceń. Umożliwia ona użytkownikowi administracyjnemu wydostanie się z ograniczonego środowiska webowego i wykonanie dowolnego kodu na systemie operacyjnym.
Ocena ryzyka
Sukcesywne wykorzystanie tej podatności pozwala atakującemu na zdalne wykonanie kodu (RCE) i pełne przejęcie kontroli nad systemem, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację oprogramowania do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych środków zabezpieczających, takich jak monitorowanie dostępu administracyjnego.
Oryginalny opis (angielski, źródło NVD)
A command injection vulnerability was found in the PPTP VPN Clients on the ADM. The vulnerability allows an administrative user to break out of the restricted web environment and execute arbitrary code on the underlying operating system. This occurs due to insufficient validation of user-supplied input before it is passed to a system shell. Successful exploitation allows an attacker to achieve Remote Code Execution (RCE) and fully compromise the system. Affected products and versions include: from ADM 4.1.0 through ADM 4.3.3.RR42 as well as from ADM 5.0.0 through ADM 5.1.2.REO1.