CVE-2026-92397

KrytyczneCVSS 9.1

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 16/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Streszczenie

W urządzeniu Ruijie RG-EW3000GX w wersji EW_3.0(1)B11P380 wykryto podatność w funkcji cc_set pliku unifyframe-sgi.elf w komponencie configChange. Manipulacja argumentem data.url prowadzi do wstrzyknięcia poleceń systemowych (OS command injection). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Ocena ryzyka

Ponieważ exploit jest publicznie dostępny, każdy atakujący z dostępem sieciowym może zdalnie wykonać dowolne polecenia na urządzeniu. Może to prowadzić do pełnego przejęcia kontroli nad routerem i siecią, którą zarządza.

Rekomendacja

Należy jak najszybciej zaktualizować firmware urządzenia Ruijie RG-EW3000GX do wersji wolnej od podatności. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu administracyjnego oraz wyłączenie zdalnego zarządzania z niezaufanych sieci.

Inne podatności w Ruijie RG-EW3000GX

CVE-2026-92398Krytyczne
W urządzeniu Ruijie RG-EW3000GX w wersji EW_3.0(1)B11P380 wykryto podatność w module user_list_note, w pliku /etc/rg_config/admin. Manipulacja argumentem Name prowadzi do wstrzyknięcia poleceń systemowych (OS command injection). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Oryginalny opis (angielski, źródło NVD)

A vulnerability has been found in Ruijie RG-EW3000GX EW_3.0(1)B11P380. Affected by this vulnerability is the function cc_set of the file unifyframe-sgi.elf of the component configChange. Such manipulation of the argument data.url leads to os command injection. The attack may be performed from remote. The exploit has been disclosed to the public and may be used.