PT-2026-67463

CVE-2026-18614

Publicado

2026-08-03

Atualizado

2026-08-03

Descrição por

CVSS 2.0

Crítica

MétricasAV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas GL-iNet GL-MT3000 versões anteriores a 4.4.6

Descrição Uma injeção de comando remota é possível no Plugin Nativo s2s.so. O problema reside na função s2s.enable echo server() localizada no arquivo /cgi-bin/glc. Um invasor pode disparar isso manipulando o argumento port, permitindo a execução de comandos arbitrários no sistema.

Recomendações Atualize para uma versão posterior à 4.4.5. Como mitigação temporária, restrinja o acesso ao endpoint /cgi-bin/glc ou evite usar o argumento port na função s2s.enable echo server().

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Strforexc

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component (\'Injection\')

CWE-77: Improper Neutralization of Special Elements used in a Command (\'Command Injection\')

Identificadores relacionados