CVE-2026-90822 in IPVPN
Zusammenfassung
von VulDB • 17.09.2026
Die FatPipe MPVPN-, WARP- und IPVPN-Geräte mit der End-of-Life-Firmware-Version 10.1.2r60p100 enthalten eine OS-Befehlsinjektionslücke im xtremed-Daemon. Ein nicht authentifizierter, entfernt angreifender Akteur mit Zugriff auf die betroffene Verwaltungsschnittstelle kann manipulierte Eingaben an den AuthFormServlet-Endpunkt senden, wodurch Authentifizierungsdaten von einer Shell verarbeitet werden und beliebige Befehle mit Root-Rechten ausgeführt werden können.
Die betroffene Verwaltungsschnittstelle ist standardmäßig deaktiviert und muss vom Kunden explizit aktiviert werden, damit der Endpunkt erreichbar ist. FatPipe empfiehlt, den Zugriff auf die Verwaltung auf vertrauenswürdige administrative Netzwerke zu beschränken und WAN-Access-Control-Lists (ACLs) zur Begrenzung des Zugriffs auf vertrauenswürdige Quellen zu verwenden.
Kunden mit der betroffenen End-of-Live-Firmware können sich an FatPipe Support wenden, um Hilfe bei der Bestätigung ihrer Firmware-Version und dem Upgrade auf eine aktuell unterstützte Version unter https://www.fatpipeinc.com/support/support, [email protected] oder +1 800-724-8521 (Option 3) zu erhalten.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.