CVE-2026-26213
Açıklama
firmware-2026-03-16 sürümüne kadar olan thingino-firmware sürümleri, WiFi captive portal CGI betiğinde, temizlenmemiş HTTP parametre adları üzerinden kötü amaçlı kod enjekte ederek uzaktaki saldırganların root olarak rastgele komutlar çalıştırmasına izin veren kimlik doğrulaması gerektirmeyen bir os komut enjeksiyonu zafiyeti içermektedir. Saldırganlar, uzaktan kod çalıştırmak ve root şifresinin sıfırlanması ile SSH authorized_keys değişikliği dahil ayrıcalıklı yapılandırma değişiklikleri yapmak için parse_query() ve parse_post() fonksiyonlarındaki eval fonksiyonunu istismar edebilir; bu durum cihazın tamamen kalıcı olarak ele geçirilmesiyle sonuçlanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| thingino thingino_firmware | v ≤ 2026-03-15 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.