CVE-2026-6996
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W urządzeniu BDCOM P3310D (wersja 0.4.2 10.1.0F Build 86345) wykryto podatność typu cross-site scripting w nieznanej funkcji komponentu rmon event Tab. Manipulacja argumentem Description może prowadzić do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Osoba atakująca może zdalnie wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce administratora lub użytkownika panelu urządzenia, co może prowadzić do kradzieży sesji lub danych. Producent nie odpowiedział na zgłoszenie, więc poprawka może nie być dostępna.
Rekomendacja
Ogranicz dostęp do interfejsu zarządzania urządzeniem do zaufanych sieci, wdróż walidację i kodowanie danych wejściowych po stronie aplikacji oraz monitoruj ruch pod kątem prób XSS. Skontaktuj się z producentem w sprawie dostępności aktualizacji.
Inne podatności w BDCOM P3310D
Zobacz wszystkie- CVE-2026-6998Niskie
Wykryto podatność w BDCOM P3310D 0.4.2 10.1.0F Build 86345. Dotyczy ona nieznanej funkcji komponentu New RMON Statistics Page. Manipulacja argumentem Owner prowadzi do cross site scripting, a atak można wykonać zdalnie.
- CVE-2026-6997Niskie
Wykryto podatność bezpieczeństwa w BDCOM P3310D 0.4.2 10.1.0F Build 86345. Dotyczy ona nieznanej funkcji komponentu New RMON History Page. Manipulacja argumentem Owner prowadzi do cross site scripting, a zdalne wykorzystanie jest możliwe.
- CVE-2026-6995Niskie
W urządzeniu BDCOM P3310D (wersja 0.4.2 10.1.0F Build 86345) odkryto lukę typu cross-site scripting w nieznanej funkcji pliku /index.asp komponentu New User Page. Manipulacja argumentem User name prowadzi do wstrzyknięcia skryptu. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in BDCOM P3310D 0.4.2 10.1.0F Build 86345. This affects an unknown function of the component rmon event Tab. Executing a manipulation of the argument Description can lead to cross site scripting. The attack may be launched remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS