CVE-2026-80145

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.1
EPSS: 2.5%
CWE: CWE-78
KEV Durumu: Hayır

Yayım tarihi: 22 Eylül 2026

Lantronix SLC8000'nin 9.7.0.2 öncesi firmware sürümleri, EMG8500/EMG7500'nin 9.7.0.1 öncesi firmware sürümleri ve SLB882/SLCx-03/SLCx-02'nin tüm firmware sürümleri, hizmetler izni olan kimlik doğrulamış saldırganların, set cifs password komutunu kullanarak任意 kabuk komutlarını kök olarak çalıştırmasına olanak tanıyan bir komut enjeksiyon zafiyeti içerir. Bu, kullanıcı girdisinin sistem() çağrısına sanitasyon olmadan geçirilmesiyle sağlanır. Hizmetler izni olan saldırganlar, terminal veya CLI arayüzüne kimlik doğrulayabilir ve sanitasyon edilmemiş parametre aracılığıyla kötü amaçlı komutlar enjekte edebilir, bu da etkilenen cihazda gizlilik, bütünlük ve erişilebilirliğin tamamen kaybına ve potansiyel olarak aşağı akım seri bağlı cihazları etkilemesine neden olabilir.

Orijinal açıklama (İngilizce)

Lantronix SLC8000 before firmware v9.7.0.2, EMG8500/EMG7500 before firmware v9.7.0.1, and all firmware versions of SLB882/SLCx-03/SLCx-02 contain a command injection vulnerability that allows authenticated attackers with the services permission to execute arbitrary shell commands as root by exploiting the set cifs password command that passes unsanitized user input to a system() call. Attackers with the services permission can authenticate to the terminal or CLI interface and inject malicious commands through the unsanitized parameter to achieve complete loss of confidentiality, integrity, and availability on the affected device and potentially impact downstream serial-attached devices.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.