Vulnerabilidad en H8951-4G-ESP (CVE-2023-49254)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-78 Neutralización incorrecta de elementos especiales usados en un comando de sistema operativo (Inyección de comando de sistema operativo)

Fecha de publicación:

12/01/2024

Última modificación:

20/06/2025

Descripción

El usuario autenticado puede ejecutar comandos arbitrarios en el contexto del usuario root proporcionando un payload en el campo "destination" de las herramientas de prueba de red. Esto es similar a la vulnerabilidad CVE-2021-28151 mitigada en el nivel de la interfaz de usuario al incluir caracteres en la lista negra con JavaScript; sin embargo, aún se puede explotar enviando solicitudes POST directamente.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto