CVE-2026-76853
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność w oprogramowaniu Netcore NR268 w wersji 1.7.121109 to obejście kontroli bezpieczeństwa w walidacji prefiksu archiwum przywracania w parame_put_file.cgi. Atakujący mogą wykorzystać wadliwą kontrolę prefiksu w put_parame_file_cgi.c, aby obejść ograniczenia dotyczące obsługi archiwów przywracania.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość nieautoryzowanego przywracania złośliwego archiwum, co może prowadzić do naruszenia integralności systemu lub przejęcia kontroli nad urządzeniem.
Rekomendacja
Zaleca się zaktualizowanie firmware do najnowszej wersji, jeśli dostępna, oraz ograniczenie dostępu do interfejsu zarządzania urządzeniem.
Inne podatności w Netcore NR268
Zobacz wszystkie- CVE-2026-108909Średnie
Wykryto lukę bezpieczeństwa w Netcore NR268 1.7.121109. Dotyczy ona nieznanej funkcjonalności komponentu CGI Endpoint. Manipulacja prowadzi do fałszerstwa żądań między witrynami (CSRF). Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Producent został poinformowany wcześnie, ale nie odpowiedział.
- CVE-2026-108908Niskie
W Netcore NR268 1.7.121109 wykryto podatność w funkcji eval w pliku /router/l7_call_board_user_set.cgi komponentu Web UI. Manipulacja argumentami title/note/URL/content prowadzi do cross-site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-108906Wysokie
W Netcore NR268 w wersji 1.7.121109 znaleziono podatność. Dotyczy ona funkcji filter_arp_put_file_cgi w pliku /router/filter_arp_put_file.cgi. Manipulacja argumentem put_file prowadzi do odczytu poza zakresem. Atak może być zainicjowany zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został wcześnie poinformowany, ale nie odpowiedział.
- CVE-2026-108907Krytyczne
W urządzeniu Netcore NR268 w wersji 1.7.121109 wykryto podatność w funkcji 'user_ok' komponentu CGI Execution. Manipulacja tą funkcją prowadzi do nieprawidłowego uwierzytelniania, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-76852Wysokie
Firmware Netcore NR268 w wersji 1.7.121109 ma wadę weryfikacji integralności w mtd_write, co pozwala na sfałszowanie autentyczności firmware. Atakujący mogą wykorzystać put_file.cgi i check_image_uuid.c, aby ominąć walidację podpisu i załadować nieautoryzowane obrazy firmware.
Oryginalny opis (angielski, źródło NVD)
Netcore NR268 firmware version 1.7.121109 contains a security check bypass vulnerability in the parame_put_file.cgi restore archive prefix validation. Attackers can exploit the flawed prefix check in put_parame_file_cgi.c to bypass restricted restore archive handling.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS