CVE-2026-18686

Nome do Software Vulnerável e Versões Afetadas GL.iNet GL-MT3000 versões anteriores a 4.4.6

Descrição Um problema de injeção de comando existe no componente nas-web RPC Wrapper dentro do arquivo /cgi-bin/glc. A falha está localizada na função nas-web.add user(), onde o software não neutraliza adequadamente elementos especiais nos dados de saída. Isso permite que um invasor remoto execute comandos arbitrários no dispositivo.

Recomendações Atualize o GL.iNet GL-MT3000 para a versão 4.4.6 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint /cgi-bin/glc ou desative a função nas-web.add user().