CVE-2022-24990

CriticoPubblicato

Vulnerabilità di Esecuzione Remota di Comandi in TerraMaster OS

Pubblicato: 7 feb 2023
Aggiornato: 21 ott 2025
Assegnazione CNA: mitre
Evidenza osservata: 10 feb 2023

CVSS primario

9,8/ 10Critico

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Stima della probabilità EPSS

83,6%

Alto · prossimi 30 giorni

Percentile: 99,7%
Data del modello: 21 set 2026

L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.

CISA noto sfruttato

Questo CVE appare nel catalogo CISA delle vulnerabilità sfruttate note.

Riepilogo

TerraMaster NAS 4.2.29 e versioni precedenti consente ad attaccanti remoti di scoprire la password amministrativa inviando "User-Agent: TNAS" a module/api.php?mobile/webNasIPS e quindi leggendo il campo PWD nella risposta.

Fonti

CVE-2022-24990-POCPoC
È solo una PoC, non un exploit.
CVE-2022-24990PoC
Vulnerabilità di esecuzione remota di comandi (RCE) non autenticata in TerraMaster TOS CVE-2022-24990
CVE-2022-24990Exploit
CVE-2022-24990 TerraMaster TOS RCE non autenticato tramite istanziazione di oggetti PHP
CVE-2022-24990-TerraMaster-TOS--PHP-

Utilizzo responsabile

Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.