CVE-2026-12219
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 — wyżej niż 60% wszystkich znanych CVE
Streszczenie
W oprogramowaniu telefonu Yealink SIP-T46U w wersji 108.86.0.118 wykryto podatność na wstrzykiwanie poleceń. Problem występuje w funkcji mod_diagnose.CommandShellByType w pliku /api/diagnosis/start komponentu Web FastCGI Service, gdzie argument Time jest podatny na manipulację. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Ocena ryzyka
Organizacja narażona jest na zdalne przejęcie kontroli nad telefonem, co może prowadzić do podsłuchiwania rozmów, kradzieży danych lub wykorzystania urządzenia jako punktu wejścia do sieci wewnętrznej.
Rekomendacja
Należy niezwłocznie zaktualizować oprogramowanie telefonu Yealink SIP-T46U do wersji 108.87.0.23 lub nowszej, która usuwa tę podatność.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in Yealink SIP-T46U 108.86.0.118. The impacted element is the function mod_diagnose.CommandShellByType of the file /api/diagnosis/start of the component Web FastCGI Service. This manipulation of the argument Time causes command injection. The attack can be initiated remotely. The exploit has been published and may be used. Upgrading to version 108.87.0.23 is sufficient to resolve this issue. It is advisable to upgrade the affected component.