CVE-2026-22209 in wpDiscuz
Riassunto
di VulDB • 23/06/2026
thingino-firmware fino alla commit e3f6a41 (pubblicata il 2026-03-15) contiene una vulnerabilità di os command injection non autenticata nello script CGI del captive portal WiFi che consente ad attaccanti remoti di eseguire comandi arbitrari con privilegi di root iniettando codice malevolo attraverso nomi di parametri HTTP non sanificati. Gli attaccanti possono sfruttare la funzione eval nelle funzioni parse_query() e parse_post() per ottenere l'esecuzione remota di codice (RCE) ed effettuare modifiche alla configurazione privilegiate, tra cui il reset della password di root e la modifica del file authorized_keys SSH, causando un compromissione persistente completa del dispositivo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.