جزئیات آسیب‌پذیری
CVE-2026-121608
Qihoo 360 D600-2Qihoo 360 D603-2Qihoo 360 D606-6
Qihoo 360 D603-2/D600-2/D606-6 Timezone Push iscm on_push_message os command injection
CVSS 4.0
6.9متوسط
شرح رسمی (انگلیسی)
A vulnerability was determined in Qihoo 360 D603-2, D600-2 and D606-6 up to 6.3.2. This vulnerability affects the function on_push_message of the file /fs2/bin/iscm of the component Timezone Push Handler. Executing a manipulation of the argument tz can lead to os command injection. The attack may be launched remotely. The exploit has been publicly disclosed and may be utilized. Upgrading to version 6.4.0 is able to resolve this issue. Upgrading the affected component is advised. Firmware 6.4.0 gates the path with a new check_timezone_parameter validation (verified by VulDB vulnerability analysis team via disassembly).
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 6.9متوسط | 4.0 | CVEProject cvelistV5 (CNA) (VulDB) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P |
| 7.3بالا | 3.1 | CVEProject cvelistV5 (CNA) (VulDB) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:P/RL:O/RC:C |
| 7.3بالا | 3.0 | CVEProject cvelistV5 (CNA) (VulDB) | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:P/RL:O/RC:C |
| 7.5بالا | 2.0 | CVEProject cvelistV5 (CNA) (VulDB) | AV:N/AC:L/Au:N/C:P/I:P/A:P/E:POC/RL:OF/RC:C |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Qihoo 360 | D600-2 | 6.3.0 | CVEProject cvelistV5 (CNA) |
| Qihoo 360 | D600-2 | 6.3.1 | CVEProject cvelistV5 (CNA) |
| Qihoo 360 | D600-2 | 6.3.2 | CVEProject cvelistV5 (CNA) |
| Qihoo 360 | D603-2 | 6.3.0 | CVEProject cvelistV5 (CNA) |
| Qihoo 360 | D603-2 | 6.3.1 | CVEProject cvelistV5 (CNA) |
| Qihoo 360 | D603-2 | 6.3.2 | CVEProject cvelistV5 (CNA) |
| Qihoo 360 | D606-6 | 6.3.0 | CVEProject cvelistV5 (CNA) |
| Qihoo 360 | D606-6 | 6.3.1 | CVEProject cvelistV5 (CNA) |
| Qihoo 360 | D606-6 | 6.3.2 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۵- https://vuldb.com/vuln/430445 vdb-entrytechnical-description
- https://vuldb.com/vuln/430445/cti signaturepermissions-required
- https://vuldb.com/cve/CVE-2026-121608 third-party-advisory
- https://vuldb.com/submit/1023263 third-party-advisory
- https://gist.github.com/gajgdm6-cpu/b238ba799968564773a70ad480f3e404 exploit
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۱۳
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۱۳
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- VulDB
پیش‌بینی بهره‌برداری (EPSS)
۱٫۳٪
احتمال بهره‌برداری در ۳۰ روز
۷۰٫۶٪
صدک (نسبت به همه‌ی CVEها)
ضعف‌ها (CWE)
- CWE-78OS Command Injection
- CWE-77Command Injection