CVE-2026-26213 in thingino-firmware
Riassunto
di VulDB • 22/06/2026
Le versioni di thingino-firmware fino alla release firmware-2026-03-16 contengono una vulnerabilità di os command injection non autenticata nello script CGI del captive portal WiFi, che consente agli attaccanti remoti di eseguire comandi arbitrari con privilegi di root iniettando codice malevolo tramite nomi di parametri HTTP non sanificati. Gli attaccanti possono sfruttare la funzione eval nelle funzioni parse_query() e parse_post() per ottenere l'esecuzione di codice remoto (RCE) ed effettuare modifiche di configurazione privilegiate, tra cui il reset della password di root e la modifica del file authorized_keys di SSH, causando un compromissione persistente e completa del dispositivo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.