CVE-2026-71914
KrytyczneCVSS 9.8Streszczenie
Wiele modeli DrayTek VigorAP zawiera podatność na iniekcję poleceń w komponencie dray_apm. Podatność wynika z niewystarczającej walidacji treści wiadomości UDP po START_SPEED_TEST przed wykonaniem poleceń. Zdalny atakujący może wywołać tę podatność poprzez spreparowaną wiadomość, aby wykonać dowolne polecenia z uprawnieniami roota.
Ocena ryzyka
Zdalny atakujący może uzyskać pełną kontrolę nad punktem dostępowym, wykonując dowolne polecenia z uprawnieniami administratora, co może prowadzić do przejęcia urządzenia i naruszenia bezpieczeństwa sieci.
Rekomendacja
Zaktualizuj oprogramowanie urządzeń DrayTek VigorAP do najnowszej wersji zawierającej poprawkę walidacji danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
Multiple DrayTek VigorAP models contain a command injection vulnerability in the dray_apm component. The vulnerability is caused by insufficient validation of UDP message content after START_SPEED_TEST before command execution. A remote attacker can trigger this vulnerability via a crafted message to execute arbitrary commands with root privileges.