CVE-2026-11452
Təsvir
GL.iNet GL-MT3000 cihazının 4.4.5 versiyasına qədər olan versiyalarında zəiflik aşkar edilmişdir. Təsirə məruz qalan hissə SET_USER_PWD Handler komponentinin /cgi-bin/glc faylındakı FUN_0042e200 funksiyasıdır. Password arqumentinin manipulyasiyası əmr inyeksiyasına (command injection) səbəb olur. Hücum uzaqdan başladıla bilər. Versiyanın 4.8.1-ə yüksəldilməsi bu problemi həll edir. Təsirə məruz qalan komponent yenilənməlidir. Vendor belə izah edir: "Mövcud kod parol parametrindəki tək dırnaqları escape edir və onu shell tək dırnaq kontekstində emal edir. Hesabatdakı əmr əvəzetməsini tetikləmək üçün $() və ya geri dırnaqlardan (backticks) istifadə edən payload-lar mövcud kod yolunda icra olunmur. Biz 4.8.1 proqram təminatı ilə işləyən GL-MT3000 cihazında oxşar payload-larla sınaqlar apardıq və heç bir əmr icrası marker faylı yaradılmadı."
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| gl-inet gl-mt3000_firmware | 4.4.0, 4.4.1, 4.4.2, 4.4.3, 4.4.4, 4.4.5 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.