CVE-2024-48705
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 87 - wyżej niż 87% wszystkich znanych CVE
Streszczenie
W oprogramowaniu sprzętowym routera Wavlink AC1200 (wersje M32A3_V1410_230602 i M32A3_V1410_240222) wykryto podatność na wstrzykiwanie poleceń po uwierzytelnieniu podczas resetowania hasła. Problem występuje w funkcji "set_sys_adm" w pliku "adm.cgi" z powodu nieprawidłowego oczyszczania pola "newpass".
Ocena ryzyka
Uwierzytelniony atakujący może wstrzyknąć dowolne polecenia systemowe, co prowadzi do pełnego przejęcia kontroli nad urządzeniem i potencjalnego naruszenia bezpieczeństwa sieci.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie sprzętowe routera do najnowszej wersji dostępnej u producenta. Jeśli aktualizacja nie jest dostępna, ogranicz dostęp do panelu administracyjnego tylko do zaufanych adresów IP.
Oryginalny opis (angielski, źródło NVD)
Wavlink AC1200 with firmware versions M32A3_V1410_230602 and M32A3_V1410_240222 are vulnerable to a post-authentication command injection while resetting the password. This vulnerability is specifically found within the "set_sys_adm" function of the "adm.cgi" binary, and is due to improper santization of the user provided "newpass" field