CVE-2026-18601

Nome do Software Vulnerável e Versões Afetadas GL.iNet GL-MT3000 versões anteriores a 4.4.6

Descrição A injeção de comandos é possível via exploração remota no Plugin Nativo ovpn-client.so. O problema reside na função ovpn-client.check config() localizada no arquivo /cgi-bin/glc, onde a manipulação do argumento filename permite a execução de comandos arbitrários.

Recomendações Atualize o GL.iNet GL-MT3000 para a versão 4.4.6 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint /cgi-bin/glc ou evite o uso do argumento filename na função ovpn-client.check config().