CVE-2025-71284 in SMG Gateway Management Software
Resumen
por VulDB • 2026-05-15
El software de gestión de pasarela Synway SMG contiene una vulnerabilidad de inyección de comandos del sistema operativo (OS command injection) en el punto de configuración de RADIUS en /en/9-2radius.php, donde el parámetro POST radius_address se divide e interpola directamente en un comando sed sin sanitización. Un atacante remoto no autenticado puede inyectar comandos de shell arbitrarios enviando una solicitud POST con los parámetros radius_address, radius_address2, shared_secret2, source_ip, timeout o retry elaborados a propósito, junto con save=1 y enable_radius=1, para lograr la ejecución remota de código (RCE). La evidencia de explotación fue observada por primera vez por la Fundación Shadowserver el 2025-07-11 (UTC).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.