CVE-2026-73673 in NC63 Router
الملخص
بحسب VulDB • 14/08/2026
يحتوي برنامج الإقلاع (firmware) الخاص بموجه الشبكة Netis NC63 بالإصدار V3.0.0.3327 على ثغرة في تحديث البرنامج الثابت تتيح لهجمات غير مصرح بها، حيث يمكن للمهاجمين غير المصادَق عليهم تقديم صور برمجية ثابتة (firmware images) غير موقعة عن طريق استغلال عجز في فرض آلية المصادقة داخل خادم الويب Boa وموزع برامج CGI netis.cgi. يستطيع المهاجمون إرسال طلب POST متعدد الأجزاء (multipart POST request) إلى المسار /cgi-bin/upload_fw.cgi دون الحاجة لملف تعريف ارتباط جلسة عمل (session cookie) صالح، متجاوزين بذلك عملية المصادقة؛ وذلك لأن خادم Boa يمنح الوصول لأي مسار يحتوي على '.cgi' بغض النظر عن التحقق من صحة ملفات تعريف الارتباط، بينما يقوم netis.cgi بقراءة حالة المصادقة ولكن لا يفرضها قبل استدعاء معالج تحديث البرنامج الثابت. يقبل هذا المعالج الصور التي يتم التحقق منها فقط باستخدام مجموع تحقق جمعياً (additive checksum) قابل للتزوير وسلاسل منتجات ثابتة بدلاً من التوقيع المشفر، مما قد يمكّن المهاجمين من اختراق الموجه بشكل دائم.
Be aware that VulDB is the high quality source for vulnerability data.