CVE-2024-28328

Nome do software vulnerável e versões afetadas:

ASUS RT-N12+ versão B1 (versões afetadas não especificadas)

Descrição:

O problema está relacionado à falta de sanitização de dados no nível administrativo, permitindo a exploração de uma vulnerabilidade de injeção CSV. Essa vulnerabilidade permite que um invasor remoto execute comandos arbitrários injetando entradas maliciosas através do parâmetro client name. A vulnerabilidade pode ser acionada ao exportar dados para o formato CSV, permitindo potencialmente a execução de comandos ou fórmulas injetados em uma sessão de usuário diferente.

Recomendações:

Como solução temporária, considere restringir o acesso ao parâmetro client name para minimizar o risco de exploração.

Evite usar o parâmetro client name no roteador afetado até que o problema seja resolvido.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.