CVE-2026-19900
LB-LINK X-PRO शैडो हार्ड-कोडेड क्रेडेंशियल्स
- प्रकाशित
- 15 अग॰ 2026
- अद्यतन
- 17 अग॰ 2026
- सीएनए असाइन करना
- VulDB
- साक्ष्य देखे गए
- 4 सित॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xकम · अगले 30 दिन
- प्रतिशत
- 86.9%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
LB-LINK X-PRO 1.0.22-20231206 में एक भेद्यता की पहचान की गई। प्रभावित तत्व फ़ाइल /etc/shadow का एक अज्ञात फ़ंक्शन है। यह हेरफेर हार्ड-कोडेड क्रेडेंशियल्स की ओर ले जाता है। हमले को दूरस्थ रूप से शुरू करना संभव है। हमले के लिए उच्च स्तर की जटिलता की आवश्यकता होती है। शोषण क्षमता को कठिन माना जाता है। शोषण सार्वजनिक रूप से उपलब्ध है और इसका उपयोग किया जा सकता है। इस प्रकटीकरण के बारे में विक्रेता से शुरुआत में संपर्क किया गया था, लेकिन उसने किसी भी तरह से प्रतिक्रिया नहीं दी।
स्रोत
http/cves/2026/CVE-2026-19900.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट CVE-2026-19900 के लिए, जो LB-LINK X-PRO राउटर में एक प्रमाणीकरण बायपास और रिमोट कोड एक्ज़ीक्यूशन भेद्यता है, जो एक क्राफ्टेड नल यूज़र कुकी के माध्यम से कमांड एक्ज़ीक्यूशन की अनुमति देता है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।