CVE-2026-14157
KrytyczneCVSS 9.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Użycie zewnętrznie kontrolowanego łańcucha formatującego w modułach routerów ASUS umożliwia zdalnemu uwierzytelnionemu użytkownikowi wykonanie dowolnych poleceń poprzez przesłanie spreparowanego pliku przez interfejs zarządzania siecią.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolne polecenia na routerze, co może prowadzić do pełnej kompromitacji urządzenia i sieci.
Rekomendacja
Zaleca się aktualizację oprogramowania routera do najnowszej wersji, a także ograniczenie dostępu do interfejsu zarządzania tylko dla zaufanych użytkowników.
Inne podatności w ASUS Router
Zobacz wszystkie- CVE-2026-14911Krytyczne
Podatność typu Cross-site Scripting (XSS) w modułach routerów ASUS pozwala zdalnemu atakującemu na odczyt informacji z DOM, modyfikację ustawień routera oraz wywołanie warunków denial-of-service, gdy uwierzytelniony użytkownik odwiedzi spreparowany URL.
- CVE-2026-19386Krytyczne
Przepełnienie bufora na stosie w modułach routerów ASUS pozwala uwierzytelnionemu użytkownikowi z pobliskiej sieci na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku konfiguracyjnego przekraczającego oczekiwany rozmiar bufora.
- CVE-2026-13385Krytyczne
W routerach ASUS wykryto podatność polegającą na nieprawidłowej walidacji wartości kontroli integralności oraz nieprawidłowej walidacji certyfikatów. Umożliwia ona zdalnemu atakującemu typu man-in-the-middle (MITM) nakłonienie routera do pobrania i wykonania dowolnego polecenia z fałszywego serwera.
- CVE-2026-16528Wysokie
W niektórych modelach routerów ASUS występuje wstawianie wrażliwych informacji do pliku dziennika, co pozwala zdalnemu uwierzytelnionemu atakującemu na uzyskanie poświadczeń DDNS z dziennika systemowego, potencjalnie umożliwiając modyfikację ustawień DNS.
- CVE-2026-11851Średnie
Podatność SQL Injection w interfejsie zarządzania siecią niektórych routerów ASUS umożliwia zdalnemu, uwierzytelnionemu użytkownikowi ujawnienie poufnych informacji poprzez spreparowane żądanie omijające istniejącą walidację wejścia.
Oryginalny opis (angielski, źródło NVD)
Use of an Externally Controlled Format String in the ASUS Router modules allow a remote authenticated user to execute arbitrary commands via a crafted file uploaded through the web management interface.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS