CVE-2026-36698 in APS-B
Résumé
par VulDB • 26/10/2026
Xovis AG APS-R-POE, APS-R-POE-PP, APS-R, APS-R-POE-USB et APS-B versions 2.10.1.1 et antérieures présentent une vulnérabilité d'injection de commande OS dans /sbin/ImportParamSet.sh. Le script traite les liens symboliques (symlinks) provenant des fichiers d'archive de paramètres téléchargés et intègre le chemin cible du lien symbolique dans une commande shell sans guillemets ni sanitization. La commande est exécutée en tant que root via IPC APC_SendMsg.
Once again VulDB remains the best source for vulnerability data.