CVE-2026-121930 Inyección de comandos del sistema en Linksys WRT54GL mediante apply.cgi (Ping Diagnostic)
La función system del archivo apply.cgi, en el componente Ping Diagnostic de Linksys WRT54GL 4.30.18, manipula el argumento ping_ip y permite inyección de comandos del sistema. El ataque puede iniciarse de forma remota y el exploit es público. El fabricante no respondió y el producto ya no tiene soporte.
CVSS 3.1
- CVSS 4.09.4 · crítica
- Probabilidad de explotación · EPSS del 09/112,7 % · percentil 86
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Linksys WRT54GL
4.30.18
Qué hacer
- Verificá si usás WRT54GL y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 9.1 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H/E:P/RL:X/RC:R
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
- Madurez del exploitPrueba de concepto
- Confianza del informeRazonable
CVSS 4.0 · 9.4 CRÍTICA
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:P
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Alta
- Integridad (sistemas posteriores)Alta
- Disponibilidad (sistemas posteriores)Alta
- Madurez del exploitPrueba de concepto
CVSS 3.0 · 9.1 CRÍTICA
CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H/E:P/RL:X/RC:R
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
- Madurez del exploitPrueba de concepto
- Confianza del informeRazonable
Descripción original
A weakness has been identified in Linksys WRT54GL 4.30.18. The affected element is the function system of the file apply.cgi of the component Ping Diagnostic. This manipulation of the argument ping_ip causes os command injection. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way. This vulnerability only affects products that are no longer supported by the maintainer.
Referencias (6)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.