DrayTek · Multiple Vigor Routers
CVE-2020-15415
DrayTek Multiple Vigor Routers OS Command Injection Vulnerability
Qué es
On DrayTek Vigor3900, Vigor2960, and Vigor300B devices before 1.5.1, cgi-bin/mainfunction.cgi/cvmcfgupload allows remote command execution via shell metacharacters in a filename when the text/x-python-script content type is used, a different issue than CVE-2020-14472.
CISA: DrayTek Vigor3900, Vigor2960, and Vigor300B devices contain an OS command injection vulnerability in cgi-bin/mainfunction.cgi/cvmcfgupload that allows for remote code execution via shell metacharacters in a filename when the text/x-python-script content type is used.
Qué hacer
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Plazo para las agencias federales de EE. UU.: 21 de octubre de 2024
- Añadida a la lista de CISA
- 30 de septiembre de 2024
- Publicada
- 30 de junio de 2020
- Gravedad
- Crítica 9,8 CVSS 3.1
- Probabilidad de ataques en los próximos 30 días (EPSS)
- 84% entre el 0,3% superior de todas las vulnerabilidades conocidas
- Debilidad
- CWE-78
- Más detalles
- NVD · CVE.org · CISA
Todas las referencias (2)
Más fallos explotados de DrayTek
| Añadido | Vulnerabilidad | Producto | Gravedad | Prob. de ataque |
|---|---|---|---|---|
| 3 nov 2021 | Multiple DrayTek Vigor Routers Web Management Page | Multiple Vigor Routers | Crítica 9,8 | >99,9% |
| 15 may 2025 | OS Command Injection | Vigor Routers | Media 6,9 | 98% |
| 3 sept 2024 | Path Traversal Vulnerability | VigorConnect | Alto 7,5 | 90% |
| 3 sept 2024 | Path Traversal Vulnerability | VigorConnect | Alto 7,5 | 96% |
Fuentes: Known Exploited Vulnerabilities (CISA, dominio público), CVE records (cve.org) y EPSS (FIRST). La probabilidad de ataque es la estimación EPSS de que alguien intente explotar el fallo en los próximos 30 días.