A vulnerability was found in Shibby Tomato 1.28.0000. This issue affects the function start_vpnserver of the file /sbin/rc of the component Web UI. Performing a manipulation results in os command injection. The attack can be initiated remotely. The exploit has been made public and could be used. This project is superseded by FreshTomato.
CVE-2026-10872 is a remote OS command injection vulnerability in Shibby Tomato 1.28.0000 affecting the VPN server startup function through the Web UI. The vulnerability allows attackers to execute arbitrary commands remotely with a CVSS score of 7.2.
تم اكتشاف ثغرة في Shibby Tomato 1.28.0000 تسمح بحقن أوامر نظام التشغيل البعيدة من خلال واجهة الويب. تؤثر الثغرة على وظيفة start_vpnserver في ملف /sbin/rc وتسمح للمهاجمين بتنفيذ أوامر تعسفية على النظام.
This vulnerability affects Shibby Tomato 1.28.0000 and enables remote OS command injection through the Web UI's VPN server function. Attackers can execute arbitrary system commands remotely, posing significant risk to affected router deployments.
Immediately upgrade to FreshTomato or the latest patched version of Shibby Tomato. If immediate patching is unavailable, restrict Web UI access to trusted networks only, disable remote management, and monitor for suspicious VPN server activity. Implement network segmentation to isolate affected routers.
قم بالترقية الفورية إلى FreshTomato أو أحدث إصدار معدل من Shibby Tomato. إذا لم يكن التصحيح متاحاً فوراً، قيد الوصول إلى واجهة الويب للشبكات الموثوقة فقط، وعطل الإدارة البعيدة، ومراقبة نشاط خادم VPN المريب. طبق تقسيم الشبكة لعزل أجهزة التوجيه المتأثرة.