CVE-2026-116235 Inyección CRLF en la autenticación L2TP de Oray Pugongying X5 Pro
Una falla en Oray Pugongying X5 Pro 7.6.1 permite manipular el argumento Username del componente L2TP Authentication y provocar una inyección CRLF. El ataque puede iniciarse de forma remota y el exploit fue publicado. El fabricante fue contactado pero no respondió.
CVSS 3.1
- CVSS 4.09.4 · crítica
- Probabilidad de explotación · EPSS del 09/110,6 % · percentil 49
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Oray Pugongying X5 Pro
7.6.1
Qué hacer
- Verificá si usás Pugongying X5 Pro y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 9.1 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H/E:P/RL:X/RC:R
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
- Madurez del exploitPrueba de concepto
- Confianza del informeRazonable
CVSS 4.0 · 9.4 CRÍTICA
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:P
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Alta
- Integridad (sistemas posteriores)Alta
- Disponibilidad (sistemas posteriores)Alta
- Madurez del exploitPrueba de concepto
CVSS 3.0 · 9.1 CRÍTICA
CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H/E:P/RL:X/RC:R
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
- Madurez del exploitPrueba de concepto
- Confianza del informeRazonable
Descripción original
A flaw has been found in Oray Pugongying X5 Pro 7.6.1. Affected by this vulnerability is an unknown functionality of the component L2TP Authentication. This manipulation of the argument Username causes crlf injection. The attack may be initiated remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Referencias (5)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.