CVE-2022-50994

Nome do Software Vulnerável e Versões Afetadas DrayTek Vigor 2960 versões anteriores a 1.5.1.4

Descrição Um problema de injeção de comando de SO existe no manipulador de login CGI. Atacantes remotos não autenticados podem executar comandos arbitrários com privilégios do servidor web ao injetar metacaracteres de shell no parâmetro formpassword. Isso ocorre porque entradas não sanitizadas são passadas para o script otp check.sh. A exploração bem-sucedida requer um nome de usuário válido e que a conta alvo tenha a autenticação MOTP (Mobile One-Time Password) habilitada.

Recomendações Atualize para a versão 1.5.1.4 ou posterior.