CVE-2026-82971

KrytyczneCVSS 10.0

Opublikowano: 31/08/2026(UTC)Przetłumaczono: 01/09/2026(UTC)NVD NIST

Streszczenie

W QVidium Opera11 w wersji 3.3.2a26-Ax4x-opera11 wykryto podatność na wstrzykiwanie poleceń w pliku /cgi-bin/net_tr.cgi komponentu CGI Script, poprzez manipulację argumentem ipaddr. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Producent zaprzestał działalności i nie wspiera już tych produktów.

Ocena ryzyka

Zdalny atakujący może wykonać dowolne polecenia na urządzeniu, co może prowadzić do przejęcia kontroli nad urządzeniem. Ponieważ produkt nie jest już wspierany, ryzyko jest trwałe i nie można liczyć na poprawki.

Rekomendacja

Ze względu na brak wsparcia producenta, zaleca się wycofanie tych urządzeń z eksploatacji i zastąpienie ich nowszymi, wspieranymi rozwiązaniami. Jeśli to niemożliwe, należy ograniczyć dostęp do urządzeń i monitorować ich aktywność.

Inne podatności w QVidium Opera11

CVE-2025-63213Krytyczne
Urządzenie QVidium Opera11 (firmware 2.9.0-Ax4x-opera11) jest podatne na zdalne wykonywanie kodu (RCE) z powodu nieprawidłowej walidacji danych wejściowych w punkcie końcowym /cgi-bin/net_ping.cgi. Atakujący może wysłać specjalnie spreparowane żądanie GET z złośliwym parametrem, aby wstrzyknąć dowolne polecenia, które są wykonywane z uprawnieniami root.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in QVidium Opera11 3.3.2a26-Ax4x-opera11. This affects an unknown part of the file /cgi-bin/net_tr.cgi of the component CGI Script. This manipulation of the argument ipaddr causes command injection. The attack may be initiated remotely. The exploit has been publicly disclosed and may be utilized. The vendor explains: "QVidium has now closed its doors and no longer will be able to sell products or provide support." This vulnerability only affects products that are no longer supported by the maintainer.