8.6
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с администраторски права и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Netis NX10 firmware V4.0.1.5808 and V3.0.0.4142 contain an OS command injection vulnerability in the ping diagnostic handler that allows authenticated administrators to execute arbitrary shell commands as root by injecting into the IpAddr parameter. The parameter is interpolated directly into a shell command executed through system() with an incomplete denylist that only blocks spaces, pipes, semicolons, and ampersands, leaving command substitution and alternate field separator expansion available for exploitation.
Засегнати продукти
- Netis Systems NX10: 4.0.1.5808; 3.0.0.4142
Вид слабост
История
- 8 септември 2026 Публикувано
Други уязвимости в Netis Systems NX10
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-61517
- https://nvd.nist.gov/vuln/detail/CVE-2026-61517
- https://hackwithmike.com/research/netis/2026-09
- https://hackwithmike.com/research/advisories/netis/cve-2026-61517
- https://www.netis-systems.com/products/NX10.html
- https://www.vulncheck.com/advisories/netis-nx10-os-command-injection-via-ping-diagnostic-handler