CVE-2026-71921
KrytyczneCVSS 9.8Streszczenie
Wiele modeli DrayTek VigorSwitch zawiera podatność na iniekcję poleceń przed uwierzytelnieniem w interfejsie setget.cgi. Podatność wynika z niewystarczającego filtrowania pola pass przed wykonaniem poleceń. Zdalny atakujący może wywołać tę podatność poprzez spreparowane dane wejściowe, aby wykonać dowolne polecenia z uprawnieniami roota.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać pełną kontrolę nad urządzeniem, wykonując dowolne polecenia z uprawnieniami administratora, co może prowadzić do całkowitego przejęcia urządzenia i sieci.
Rekomendacja
Zaktualizuj oprogramowanie urządzeń DrayTek VigorSwitch do najnowszej wersji zawierającej poprawkę filtrowania danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
Multiple DrayTek VigorSwitch models contain a pre-authentication command injection vulnerability in the setget.cgi interface. The vulnerability is caused by insufficient filtering of the pass field before command execution. A remote attacker can trigger this vulnerability via crafted input to execute arbitrary commands with root privileges.