SmartLiving SmartLAN <=6.x contains an authenticated remote command injection vulnerability in the web.cgi binary through the 'par' POST parameter with the 'testemail' module. Attackers can exploit the unsanitized parameter and system() function call to execute arbitrary system commands with root privileges using default credentials.
SmartLiving SmartLAN versions 6.x and earlier contain an authenticated remote command injection vulnerability in web.cgi that allows attackers to execute arbitrary system commands with root privileges. The vulnerability exists in the 'testemail' module through the unsanitized 'par' POST parameter and can be exploited using default credentials.
تحتوي ثغرة CVE-2019-25289 على عيب في معالجة المدخلات في وحدة testemail بتطبيق SmartLiving SmartLAN حيث لا يتم تعقيم معامل 'par' بشكل صحيح قبل تمريره إلى دالة system(). يمكن للمهاجمين المصرح لهم استخدام بيانات الاعتماد الافتراضية لتنفيذ أوامر نظام عشوائية بامتيازات الجذر على الخادم المتأثر.
SmartLiving SmartLAN الإصدارات 6.x وما قبلها تحتوي على ثغرة حقن أوامر بعيدة مصرح بها في web.cgi تسمح للمهاجمين بتنفيذ أوامر نظام عشوائية بامتيازات الجذر. تكمن الثغرة في وحدة 'testemail' من خلال معامل 'par' غير المعقم والذي يمكن استغلاله باستخدام بيانات اعتماد افتراضية.
Upgrade SmartLiving SmartLAN to version 7.0 or later immediately. Change all default credentials to strong, unique passwords. Implement network segmentation to restrict access to the web.cgi interface. Apply input validation and sanitization for all POST parameters. Monitor for suspicious command execution patterns in system logs.
قم بترقية SmartLiving SmartLAN إلى الإصدار 7.0 أو أحدث فوراً. غير جميع بيانات الاعتماد الافتراضية إلى كلمات مرور قوية وفريدة. طبق تقسيم الشبكة لتقييد الوصول إلى واجهة web.cgi. طبق التحقق من صحة المدخلات والتعقيم لجميع معاملات POST. راقب أنماط تنفيذ الأوامر المريبة في سجلات النظام.