CVE-2026-19980
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wykryto podatność w wielu urządzeniach GL.iNet (m.in. A1300, AX1800, BE9300, MT6000) w wersjach do 4.8.x. Problem dotyczy funkcji ui.update_langs w komponencie Language Update, gdzie manipulacja argumentami hour/min/week prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie.
Ocena ryzyka
Zdalny atakujący może wstrzyknąć i wykonać dowolny kod, co może prowadzić do przejęcia kontroli nad urządzeniem i naruszenia bezpieczeństwa sieci.
Rekomendacja
Należy zaktualizować urządzenia do najnowszej wersji oprogramowania, która usuwa podatność.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in GL.iNet A1300, AX1800, AXT1800, BE1400, BE3600, BE6500, BE9300, BE10000, E5800, MT2500, MT3000, MT3600BE, MT5000, MT6000, X2000, X3000 and XE3000 up to 4.8.x. Affected by this issue is the function ui.update_langs of the component Language Update. Performing a manipulation of the argument hour/min/week results in code injection. The attack can be initiated remotely. The vendor explains: "After our investigation, we have confirmed that the vulnerability described (...) does indeed exist."