A vulnerability has been found in Shibby Tomato 1.28.0000. This vulnerability affects the function start_6rd_tunnel of the file /sbin/rc of the component Web UI. Such manipulation of the argument ipv6_6rd_borderrelay leads to os command injection. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used. This project is superseded by FreshTomato.
CVE-2026-10871 is a remote OS command injection vulnerability in Shibby Tomato 1.28.0000 affecting the IPv6 6RD tunnel configuration through the Web UI. The vulnerability allows attackers to execute arbitrary commands by manipulating the ipv6_6rd_borderrelay parameter in the /sbin/rc file.
تؤثر هذه الثغرة على أجهزة التوجيه التي تعمل بنظام Shibby Tomato 1.28.0000 وتسمح بتنفيذ أوامر بعيدة من خلال التحقق غير الكافي من المدخلات في معاملات إعدادات نفق IPv6. يمكن للمهاجمين استغلال هذه الثغرة للوصول الكامل إلى النظام والتحكم به.
This vulnerability affects Shibby Tomato router firmware versions up to 1.28.0000, enabling remote command execution through improper input validation in IPv6 tunnel configuration. Organizations using this firmware for network infrastructure are at risk of unauthorized system compromise.
Immediately upgrade to FreshTomato or a patched version of Shibby Tomato beyond 1.28.0000. Restrict Web UI access to trusted networks using firewall rules. Disable IPv6 6RD functionality if not required. Monitor system logs for suspicious command execution patterns.
قم بالترقية الفورية إلى FreshTomato أو إصدار مصحح من Shibby Tomato أحدث من 1.28.0000. قيد الوصول إلى واجهة الويب للشبكات الموثوقة باستخدام قواعد جدار الحماية. عطل وظيفة IPv6 6RD إذا لم تكن مطلوبة. راقب سجلات النظام للكشف عن أنماط تنفيذ الأوامر المريبة.