CVE-2022-24989 in NAS

Résumé

par VulDB • 09/06/2026

TerraMaster NAS jusqu'à la version 4.2.30 permet aux attaquants distants via WAN d'exécuter du code arbitraire en tant que root via les paramètres raidtype et diskstring pour l'instanciation d'objets PHP vers l'URI api.php?mobile/createRaid. (Des métacaractères de shell peuvent être placés dans raidtype car popen est utilisé sans aucune sanitization.) Les identifiants issus de l'exploitation de CVE-2022-24990 peuvent être utilisés.

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

• Réserver: 14/02/2022
• Divulgation: 20/08/2023
• Modérer: accepté
• Entrée: VDB-237572
• CPE: prêt
• CWE: CWE-78 (confirmé)
• CVSS: 9.8 (NVD)
• EPSS: 0.31881
• KEV: non
• Activités: très faible

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2022-24989
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2022-24989
• CVE Details: https://www.cvedetails.com/cve/CVE-2022-24989/