DrayTek · VigorConnect
CVE-2021-20124
Draytek VigorConnect Path Traversal Vulnerability
De quoi s'agit-il
A local file inclusion vulnerability exists in Draytek VigorConnect 1.6.0-B3 in the file download functionality of the WebServlet endpoint. An unauthenticated attacker could leverage this vulnerability to download arbitrary files from the underlying operating system with root privileges.
CISA: Draytek VigorConnect contains a path traversal vulnerability in the file download functionality of the WebServlet endpoint. An unauthenticated attacker could leverage this vulnerability to download arbitrary files from the underlying operating system with root privileges.
Que faire
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Échéance pour les agences fédérales américaines : 24 septembre 2024
- Ajoutée à la liste de la CISA
- 3 septembre 2024
- Publiée
- 13 octobre 2021
- Gravité
- Élevé 7,5 CVSS 3.1
- Probabilité d'attaques dans les 30 prochains jours (EPSS)
- 96% dans les 0,1% les plus à risque de toutes les failles connues
- Faiblesse
- CWE-22
- Plus de détails
- NVD · CVE.org · CISA
Toutes les références (1)
Autres failles exploitées chez DrayTek
| Ajouté | Faille | Produit | Gravité | Risque d'attaque |
|---|---|---|---|---|
| 3 sept. 2024 | Path Traversal Vulnerability | VigorConnect | Élevé 7,5 | 90% |
| 15 mai 2025 | OS Command Injection | Vigor Routers | Moyenne 6,9 | 98% |
| 30 sept. 2024 | OS Command Injection | Multiple Vigor Routers | Critique 9,8 | 84% |
| 3 nov. 2021 | Multiple DrayTek Vigor Routers Web Management Page | Multiple Vigor Routers | Critique 9,8 | >99,9% |
Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.