CVE-2026-7682
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 80 - wyżej niż 80% wszystkich znanych CVE
Streszczenie
W urządzeniu Edimax BR-6208AC 1.02 wykryto podatność w funkcji setWAN w pliku /goform/setWAN (komponent L2TP Mode). Manipulacja argumentem L2TPUserName prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Podatność pozwala na zdalne wykonanie poleceń, co może skutkować przejęciem urządzenia i wykorzystaniem go do dalszych ataków. Brak reakcji producenta oznacza, że poprawka może nie zostać wydana.
Rekomendacja
Należy ograniczyć dostęp do interfejsu zarządzania i monitorować nietypowe polecenia. Zaleca się rozważenie wymiany urządzenia na wspierany model.
Inne podatności w Edimax BR-6208AC
Zobacz wszystkie- CVE-2026-108918Krytyczne
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto lukę w nieznanej funkcji pliku /goform/formWlanMP. Manipulacja argumentem readE2P prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być wykorzystany.
- CVE-2026-108917Krytyczne
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto lukę w nieznanym fragmencie pliku /goform/formAutoFWupgrade. Manipulacja argumentem tftpsIP prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-108915Krytyczne
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto lukę w nieznanej części pliku /goform/formWlanMP. Manipulacja argumentem ateBW prowadzi do przepełnienia bufora. Atak można przeprowadzić zdalnie, a exploit został ujawniony publicznie i może być wykorzystany.
- CVE-2026-108914Krytyczne
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność w nieznanej funkcji pliku '/goform/formWlSiteSurvey'. Manipulacja argumentem 'ifname' powoduje przepełnienie bufora, które można wykorzystać zdalnie. Exploit został publicznie ujawniony i może być użyty; producent nie odpowiedział na zgłoszenie, a produkt nie jest już wspierany.
- CVE-2025-70161Krytyczne
Router EDIMAX BR-6208AC w wersji V2_1.02 jest podatny na wstrzykiwanie poleceń. Pole pppUserName jest przekazywane bezpośrednio do funkcji system() bez odpowiedniej sanityzacji, co pozwala atakującemu na wykonanie dowolnego kodu.
- CVE-2026-116227Niskie
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność w nieznanym kodzie komponentu Virtual Server Page. Manipulacja prowadzi do cross site scripting. Zdalne wykorzystanie ataku jest możliwe, a exploit został publicznie ujawniony.
- CVE-2026-108936Niskie
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność XSS w nieznanej części pliku /goform/formQoS (strona QoS). Manipulacja danymi prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-108935Niskie
W urządzeniu Edimax BR-6208AC w wersji 1.32 zidentyfikowano słabość w nieznanej funkcji pliku /goform/formPortFw (strona przekierowania portów). Manipulacja prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-108934Niskie
W urządzeniu Edimax BR-6208AC w wersji 1.32 odkryto podatność w nieznanej funkcji pliku /goform/formUrlb (strona blokowania HTTP). Manipulacja prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-108933Niskie
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność w nieznanej funkcji pliku /goform/formFilter. Manipulacja prowadzi do podatności na cross site scripting. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in Edimax BR-6208AC 1.02. The impacted element is the function setWAN of the file /goform/setWAN of the component L2TP Mode. The manipulation of the argument L2TPUserName results in command injection. It is possible to launch the attack remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS