Hackerpipi

Uma falha no componente openvpn cli Handler permite que atacantes remotos realizem a injeção de comandos do sistema operacional. Isso ocorre por meio da manipulação do argumento `file id` em uma função desconhecida do endpoint '/protocol.csp'. A injeção de comandos do SO é uma técnica onde um atacante executa comandos arbitrários do sistema operacional no servidor.

Uma injeção de comando de SO remota existe no componente WireGuard. O problema ocorre no manipulador `wireguard cli group` do arquivo `/protocol.csp`. Um invasor pode explorar isso manipulando as variáveis `group id` ou `group name`, que são passadas sem sanitização para um comando de shell através da função `system()`. A exploração bem-sucedida permite a execução de comandos do sistema operacional com privilégios de serviço do roteador. O acesso ao endpoint de gerenciamento e um token de sessão são necessários para a exploração.

A vulnerability was determined in WAVLINK WN536AX6-A V260507. This impacts the function host black of the file /protocol.csp. This manipulation of the argument mac causes os command injection. Remote exploitation of the attack is possible. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure.

Um problema de injeção de comando existe na interface web do roteador. Um invasor remoto pode executar comandos arbitrários e assumir o controle da rede enviando entradas manipuladas para a função `con check read finish()` no arquivo `/protocol.csp`. A falha é desencadeada através do argumento `group name/IP-FROM`.

Uma injeção de comando de SO remota existe no componente Initial Setup Wizard. O problema ocorre quando a função `set wzdgwMesh()` no endpoint '/cgi-bin/adm.cgi' não processa adequadamente o argumento `wlan ssid`, permitindo que um invasor execute comandos arbitrários no dispositivo ao fornecer um nome de rede sem fio especialmente criado.

A vulnerability was found in WAVLINK WN701AE 260105. Impacted is the function del vlan group of the component ioos Web Backend. The manipulation of the argument vlan name results in os command injection. The attack may be performed from remote. The exploit has been made public and could be used. The vendor was contacted early about this disclosure.

O componente ioos Web Backend contém uma falha na função `del staticrule` dentro do arquivo `static route setting.sh`. Um invasor remoto pode executar comandos arbitrários do sistema operacional ao manipular o argumento `rule name`. Isso ocorre durante o processamento da exclusão de rotas estáticas.

Um invasor remoto pode realizar a injeção de comandos do sistema operacional, o que permite a execução de comandos arbitrários e potencialmente concede controle total sobre o dispositivo. Este problema ocorre na função `port forward()` do endpoint '/cgi-bin/wapi.cgi' quando o parâmetro `Name` é manipulado.

Uma falha no recurso de redirecionamento de portas web permite que um invasor remoto execute comandos arbitrários do sistema operacional. Isso ocorre por meio da manipulação do parâmetro `Name` dentro da função `port forward` do endpoint '/cgi-bin/wapi.cgi'.