CVE-2026-18614

Nome do Software Vulnerável e Versões Afetadas GL-iNet GL-MT3000 versões anteriores a 4.4.6

Descrição Uma injeção de comando remota é possível no Plugin Nativo s2s.so. O problema reside na função s2s.enable echo server() localizada no arquivo /cgi-bin/glc. Um invasor pode disparar isso manipulando o argumento port, permitindo a execução de comandos arbitrários no sistema.

Recomendações Atualize para uma versão posterior à 4.4.5. Como mitigação temporária, restrinja o acesso ao endpoint /cgi-bin/glc ou evite usar o argumento port na função s2s.enable echo server().