Waltz

A vulnerability was detected in Ziroom ZHOME A0101 1.0.1.0. This affects the function set syslog of the file /api/ZRnetwork/set syslog. The manipulation of the argument conloglevel/log size results in command injection. The attack may be performed from remote. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

**Nome do Software Vulnerável e Versões Afetadas** Ziroom ZHOME A0101 versão 1.0.1.0 **Description** Uma falha na função `set time zone()` dentro do endpoint '/api/ZRFirmware/set time zone' permite a injeção remota de comandos. Isso ocorre através da manipulação do argumento `hostname/zonename`, permitindo que um invasor execute comandos arbitrários no sistema. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta falha. Como medida paliativa temporária, restrinja o acesso ao endpoint '/api/ZRFirmware/set time zone' para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Ziroom ZHOME A0101 versão 1.0.1.0 **Description** A injeção remota de comandos é possível devido ao processamento inadequado do argumento `url` no endpoint '/api/ZRnetwork/ping'. Isso permite que um invasor execute comandos arbitrários no sistema remotamente. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Evite usar o parâmetro `url` no endpoint '/api/ZRnetwork/ping' até que o problema seja resolvido.

**Nome do Software Vulnerável e Versões Afetadas** Ziroom ZHOME A0101 versão 1.0.1.0 **Description** A injeção remota de comandos é possível devido ao processamento inadequado do endpoint `/api/ZRQos/set online client`. Um invasor pode explorar isso manipulando o argumento `mac` para executar comandos arbitrários no sistema. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Evite usar o parâmetro `mac` no endpoint `/api/ZRQos/set online client` para minimizar o risco de exploração.

A vulnerability was detected in Ziroom ZHOME A0101 1.0.1.0. Affected by this issue is some unknown functionality of the file /api/ZRnetwork/firstLogin. Performing a manipulation of the argument firstLogin results in command injection. The attack is possible to be carried out remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

**Nome do Software Vulnerável e Versões Afetadas** Ziroom ZHOME A0101 versão 1.0.1.0 **Description** Um problema de injeção de comando remoto existe no endpoint `/api/ZRnetwork/set passwd`. Isso ocorre quando o argumento `password1` é manipulado, permitindo que um invasor execute comandos arbitrários no sistema. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Evite usar o parâmetro `password1` no endpoint `/api/ZRnetwork/set passwd` até que o problema seja resolvido.

A flaw has been found in Ziroom ZHOME A0101 1.0.1.0. This affects an unknown part of the file /api/ZRnetwork/firstSetup wifi. Executing a manipulation of the argument login pwd can lead to command injection. The attack may be performed from remote. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

**Nome do Software Vulnerável e Versões Afetadas** Ziroom ZHOME A0101 versão 1.0.1.0 **Description** Um problema de injeção de comando existe que permite que atacantes remotos executem comandos arbitrários. A falha está localizada no endpoint `/api/ZRQos/set online client`, onde o manuseio inadequado do argumento `ip` possibilita a injeção. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Evite usar o parâmetro `ip` no endpoint `/api/ZRQos/set online client` para minimizar o risco de exploração.