CVE-2026-112371
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
W urządzeniu H3C Magic NX15 (wersja NX15V100R017) w funkcji write pliku /api/esps interfejsu RPC manipulacja argumentem path może prowadzić do wstrzyknięcia kodu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wykonać dowolny kod na urządzeniu, przejmując nad nim kontrolę i narażając sieć.
Rekomendacja
Zaktualizuj firmware urządzenia do wersji naprawionej przez producenta lub ogranicz dostęp do interfejsu RPC z niezaufanych sieci.
Inne podatności w H3C Magic NX15
Zobacz wszystkie- CVE-2026-112370Krytyczne
W H3C Magic NX15 100R017 funkcja sub_416874 w pliku /usr/bin/usrlist pozwala na wstrzyknięcie poleceń systemu operacyjnego. Możliwa jest zdalna eksploatacja, a exploit został publicznie ujawniony.
- CVE-2026-112372Średnie
W urządzeniu H3C Magic NX15 V100R017 zidentyfikowano słabość w funkcji importprofile w pliku /api/upload. Manipulacja argumentem fileName powoduje path traversal, a atak można przeprowadzić zdalnie; exploit został publicznie udostępniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in H3C Magic NX15 NX15V100R017. Impacted is the function write of the file /api/esps of the component RPC Interface. Executing a manipulation of the argument path can lead to code injection. The attack can be executed remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS