CVE-2026-92398

KrytyczneCVSS 9.1

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 16/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Streszczenie

W urządzeniu Ruijie RG-EW3000GX w wersji EW_3.0(1)B11P380 wykryto podatność w module user_list_note, w pliku /etc/rg_config/admin. Manipulacja argumentem Name prowadzi do wstrzyknięcia poleceń systemowych (OS command injection). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Ocena ryzyka

Ponieważ exploit jest publicznie dostępny, każdy atakujący z dostępem sieciowym może zdalnie wykonać dowolne polecenia na urządzeniu. Może to prowadzić do pełnego przejęcia kontroli nad routerem i siecią, którą zarządza.

Rekomendacja

Należy jak najszybciej zaktualizować firmware urządzenia Ruijie RG-EW3000GX do wersji wolnej od podatności. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu administracyjnego oraz wyłączenie zdalnego zarządzania z niezaufanych sieci.

Inne podatności w Ruijie RG-EW3000GX

CVE-2026-92397Krytyczne
W urządzeniu Ruijie RG-EW3000GX w wersji EW_3.0(1)B11P380 wykryto podatność w funkcji cc_set pliku unifyframe-sgi.elf w komponencie configChange. Manipulacja argumentem data.url prowadzi do wstrzyknięcia poleceń systemowych (OS command injection). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was found in Ruijie RG-EW3000GX EW_3.0(1)B11P380. Affected by this issue is some unknown functionality of the file /etc/rg_config/admin of the component user_list_note Module. Performing a manipulation of the argument Name results in os command injection. It is possible to initiate the attack remotely. The exploit has been made public and could be used.