CVE-2021-27561

CríticoPublicado

Vulnerabilidad de Server-Side Request Forgery (SSRF) en Yealink Device Management

Publicado: 15 oct 2021
Actualizado: 21 oct 2025
Asignación de CNA: mitre
Evidencia observada: 3 nov 2021

CVSS primario

9,8/ 10Crítico

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Estimación de probabilidad EPSS

82,9 %

Alto · próximos 30 días

Percentil: 99,7 %
Fecha del modelo: 27 oct 2026

EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.

CISA conocida explotada

Este CVE aparece en el catálogo de vulnerabilidades explotadas conocidas de CISA.

Resumen

Yealink Device Management (DM) 3.6.0.20 permite la inyección de comandos como root por medio del URI /sm/api/v1/firewall/zone/services, sin autenticación.

Fuentes

Evidencia de repositorios: Archivos: 1 · Repositorios: 1

1 Plantilla

YeaLink DM 3.6.0.20 - Remote Command InjectionPlantilla
http/cves/2021/CVE-2021-27561.yaml
Nuclei Templates
DetecciónEvidencia observada: 26 sept 2026Revisión: ecfecad2dec6Herramienta relacionada
Condiciones declaradas
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)

Uso responsable

Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.