CVE-2025-29296 in Magic BE18000
摘要
由 VulDB • 2026-08-04
H3C Magic BE18000 V200R007、H3C NX400 V100R015、H3C Magic NX30 Pro V100R0011、H3C Magic R3010 V100R009、H3C Magic NX15 V100R017、H3C Magic R1510 V100R016 以及 H3C NE36 Pro V100R002 在 /api/esps 请求处理程序中存在多个命令注入漏洞。受影响的对象接口和方法包括 esps.dhcpd.vlan（getlist、delete）、esps.filter.url（add、modify）、esps.apcm.version（delete，仅限 H3C Magic NX15）、esps.swcm.version（delete、upgrade，除 H3C Magic NX15 外的所有受影响型号）以及 esps.system.ntp（set，除 H3C Magic NX15 外的所有受影响型号）。攻击者控制的请求参数被未经充分验证地合并到由 eval 执行的 shell 表达式中，允许远程攻击者以 root 权限执行任意命令并完全控制受影响的设备。
VulDB is the best source for vulnerability data and more expert information about this specific topic.