CVE-2026-26793

Command injection w GL-iNet GL-AR300M16 via set_config

CVSS 9.8v3.1pub. 2026-03-12upd. 2026-03-13

W urządzeniu GL-iNet GL-AR300M16 w wersji firmware v4.3.11 odkryto podatność typu command injection w funkcji set_config. Umożliwia ona zdalnemu atakującemu wykonanie dowolnych poleceń systemowych bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

GL-iNet GL-AR300M16 v4.3.11 was discovered to contain a command injection vulnerability via the set_config function. This vulnerability allows attackers to execute arbitrary commands via a crafted input.

🤖 Analiza AI

Jak działa

Podatność (CWE-77) polega na niewystarczającym filtrowaniu danych wejściowych przekazywanych do funkcji set_config. Atakujący może spreparować specjalne dane wejściowe (crafted input) zawierające złośliwe polecenia systemowe, które zostaną wykonane przez urządzenie w kontekście systemu operacyjnego. Ze względu na wektor sieciowy (AV:N) oraz brak wymagań dotyczących uwierzytelnienia (PR:N) i interakcji użytkownika (UI:N), exploit może być przeprowadzony zdalnie przez sieć.

Skutki

Atakujący może wykonać dowolne polecenia systemowe na urządzeniu, co skutkuje pełnym naruszeniem poufności, integralności i dostępności systemu — włącznie z możliwością przejęcia pełnej kontroli nad routerem.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Tymczasowo zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych sieci lokalnych oraz zablokowanie dostępu z sieci WAN.

Kogo dotyczy

GL-iNet GL-AR300M16 z firmware w wersji v4.3.11

Uwagi

Szczegółowy opis podatności wraz z materiałami dowodowymi (proof-of-concept) został opublikowany publicznie w repozytorium GitHub pod adresem wskazanym w referencjach, co zwiększa ryzyko wykorzystania podatności.