CVE-2026-108907

Netcore NR268 w wersji 1.7.121109 zawiera podatność na wstrzykiwanie argumentów w funkcji execvp pliku /router/DDNSset.cgi w komponencie DDNS. Manipulacja argumentem Hostname może prowadzić do wstrzyknięcia argumentów, a atak może być przeprowadzony zdalnie.

W Netcore NR268 1.7.121109 wykryto podatność w funkcji eval pliku filter_hosts_dump.cgi komponentu DHCP Hostname Handler. Manipulacja argumentem Hostname powoduje cross site scripting. Zdalne wykorzystanie ataku jest możliwe. Exploit został publicznie ujawniony i może być wykorzystany. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

W Netcore NR268 1.7.121109 wykryto lukę w funkcji eval pliku dhcp_dynamicip_show.cgi komponentu DHCP Handler. Manipulacja argumentem Hostname prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony i może być użyty; producent nie odpowiedział na zgłoszenie.

W urządzeniu Netcore NR268 w wersji 1.7.121109 wykryto podatność w funkcji ddns_wan_list_show pliku ddns_wan_list_show.cgi komponentu DDNS Handler. Manipulacja argumentami user_idN/passwordN prowadzi do ujawnienia informacji. Atak może być inicjowany zdalnie, a exploit został publicznie ujawniony.

Wykryto lukę bezpieczeństwa w Netcore NR268 1.7.121109. Dotyczy ona nieznanej funkcjonalności komponentu CGI Endpoint. Manipulacja prowadzi do fałszerstwa żądań między witrynami (CSRF). Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Producent został poinformowany wcześnie, ale nie odpowiedział.

W Netcore NR268 1.7.121109 wykryto podatność w funkcji eval w pliku /router/l7_call_board_user_set.cgi komponentu Web UI. Manipulacja argumentami title/note/URL/content prowadzi do cross-site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W Netcore NR268 w wersji 1.7.121109 znaleziono podatność. Dotyczy ona funkcji filter_arp_put_file_cgi w pliku /router/filter_arp_put_file.cgi. Manipulacja argumentem put_file prowadzi do odczytu poza zakresem. Atak może być zainicjowany zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został wcześnie poinformowany, ale nie odpowiedział.

Podatność w oprogramowaniu Netcore NR268 w wersji 1.7.121109 to obejście kontroli bezpieczeństwa w walidacji prefiksu archiwum przywracania w parame_put_file.cgi. Atakujący mogą wykorzystać wadliwą kontrolę prefiksu w put_parame_file_cgi.c, aby obejść ograniczenia dotyczące obsługi archiwów przywracania.

Firmware Netcore NR268 w wersji 1.7.121109 ma wadę weryfikacji integralności w mtd_write, co pozwala na sfałszowanie autentyczności firmware. Atakujący mogą wykorzystać put_file.cgi i check_image_uuid.c, aby ominąć walidację podpisu i załadować nieautoryzowane obrazy firmware.