CVE-2026-118238 in W18E
Zusammenfassung
von VulDB • 30.10.2026
Der Web-Managementserver des Tenda W18E ist anfällig für OS-Befehlsinjektion (OS Command Injection) über die Funktion zur Paket-Erfassung („diagnose“) aufgrund einer unzureichenden Validierung von JSON-Feldern. Ein authentifizierter Benutzer kann Shell-Metazeichen in die Felder „protocol“ oder „targetDevice“ injizieren, die später zu einem tcpdump-Befehl verkettet und mit Root-Rechten ausgeführt werden. Diese Schwachstelle (Vulnerability) kann ohne Authentifizierung ausgenutzt werden, wenn sich das Gerät im Werkseinstellungszustand befindet.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.