DrayTek · Multiple Vigor Routers

CVE-2020-15415

DrayTek Multiple Vigor Routers OS Command Injection Vulnerability

مورد سوءاستفاده در حملات بحرانی ۹٫۸ احتمال حمله: ۸۴%

اشتراک‌گذاری

چیست

On DrayTek Vigor3900, Vigor2960, and Vigor300B devices before 1.5.1, cgi-bin/mainfunction.cgi/cvmcfgupload allows remote command execution via shell metacharacters in a filename when the text/x-python-script content type is used, a different issue than CVE-2020-14472.

CISA: DrayTek Vigor3900, Vigor2960, and Vigor300B devices contain an OS command injection vulnerability in cgi-bin/mainfunction.cgi/cvmcfgupload that allows for remote code execution via shell metacharacters in a filename when the text/x-python-script content type is used.

چه باید کرد

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

مهلت برای نهادهای فدرال آمریکا: ۲۱ اکتبر ۲۰۲۴

افزوده‌شده به فهرست CISA: ۳۰ سپتامبر ۲۰۲۴
منتشرشده: ۳۰ ژوئن ۲۰۲۰
شدت: بحرانی ۹٫۸ CVSS 3.1
احتمال حمله در ۳۰ روز آینده (EPSS): ۸۴% در ۰٫۳% بالای همهٔ آسیب‌پذیری‌های شناخته‌شده
نوع ضعف: CWE-78
جزئیات بیشتر: NVD · CVE.org · CISA

همهٔ منابع (2)

آسیب‌پذیری‌های دیگر DrayTek که مورد سوءاستفاده‌اند

افزوده‌شده	آسیب‌پذیری	محصول	شدت	احتمال حمله
۳ نوامبر ۲۰۲۱	Multiple DrayTek Vigor Routers Web Management PageCVE-2020-8515	Multiple Vigor Routers	بحرانی ۹٫۸	>۹۹٫۹%
۱۵ مه ۲۰۲۵	OS Command InjectionCVE-2024-12987	Vigor Routers	متوسط ۶٫۹	۹۸%
۳ سپتامبر ۲۰۲۴	Path Traversal Vulnerability CVE-2021-20123	VigorConnect	بالا ۷٫۵	۹۰%
۳ سپتامبر ۲۰۲۴	Path Traversal Vulnerability CVE-2021-20124	VigorConnect	بالا ۷٫۵	۹۶%

همه →

منابع: Known Exploited Vulnerabilities (CISA، مالکیت عمومی)، CVE records (cve.org) و EPSS (FIRST). احتمال حمله برآورد EPSS از این است که کسی در ۳۰ روز آینده برای سوءاستفاده از این آسیب‌پذیری تلاش کند.