جزئیات آسیب‌پذیری
CVE-2026-18612
GL.iNet GL-MT3000
GL-iNet GL-MT3000 plugins.so Native Plugin glc plugins.install_package command injection
CVSS 4.0
9.3بحرانی
شرح رسمی (انگلیسی)
A flaw has been found in GL-iNet GL-MT3000 up to 4.4.5. This vulnerability affects the function plugins.remove_package/plugins.install_package of the file /cgi-bin/glc of the component plugins.so Native Plugin. This manipulation causes command injection. The attack can be initiated remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure and confirmed the existence of the vulnerability.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 9.3بحرانی | 4.0 | CVEProject cvelistV5 (CNA) (VulDB) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:P |
| 9.8بحرانی | 3.1 | CVEProject cvelistV5 (CNA) (VulDB) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:P/RL:X/RC:R |
| 9.8بحرانی | 3.0 | CVEProject cvelistV5 (CNA) (VulDB) | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:P/RL:X/RC:R |
| 10.0بالا | 2.0 | CVEProject cvelistV5 (CNA) (VulDB) | AV:N/AC:L/Au:N/C:C/I:C/A:C/E:POC/RL:ND/RC:C |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| GL.iNet | GL-MT3000 | 4.4.0 | CVEProject cvelistV5 (CNA) |
| GL.iNet | GL-MT3000 | 4.4.1 | CVEProject cvelistV5 (CNA) |
| GL.iNet | GL-MT3000 | 4.4.2 | CVEProject cvelistV5 (CNA) |
| GL.iNet | GL-MT3000 | 4.4.3 | CVEProject cvelistV5 (CNA) |
| GL.iNet | GL-MT3000 | 4.4.4 | CVEProject cvelistV5 (CNA) |
| GL.iNet | GL-MT3000 | 4.4.5 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۸- https://vuldb.com/vuln/385532 vdb-entrytechnical-description
- https://vuldb.com/vuln/385532/cti signaturepermissions-required
- https://vuldb.com/cve/CVE-2026-18612 third-party-advisory
- https://vuldb.com/submit/851553 third-party-advisory
- https://vuldb.com/submit/851596 third-party-advisory
- https://vuldb.com/submit/851597 third-party-advisory
- https://vuldb.com/submit/851600 third-party-advisory
- https://github.com/StrTzz123/iot_vul/blob/main/GL-iNet/MT3000/4.4.5/plugins_package_name_glc_rce/CVE.md exploit
کانال تلگرام کُلون @kolunsec_fa
تازه‌های KEV، خبرهای مهم و خلاصه‌ی روزانه
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۵/۱۲
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۵/۱۲
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- VulDB
پیش‌بینی بهره‌برداری (EPSS)
۳٫۹۶٪
احتمال بهره‌برداری در ۳۰ روز
۹۰٫۴٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- اثبات مفهوم
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-77Command Injection
- CWE-74Injection