رفع ملفات غير مقيد في plugin_init لمنتج Oray Pugongying X5 Pro PPPoE WAN Setting upload_files

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تم اكتشاف ثغرة في Oray Pugongying X5 Pro 7.6.1. تتأثر بهذه المشكلة دالة plugin_init في الملف /tmp/upload_files التابع لمكون PPPoE WAN Setting Handler. يؤدي هذا التلاعب في الوسيط pppd_options إلى رفع ملفات غير مقيد. يمكن شن الهجوم عن بُعد، وقد تم الكشف عن استغلال للثغرة للعموم واستخدامه. تم التواصل مع المُموِّن مسبقاً بهذا الخصوص ولم ترد أي استجابة.

المعالجة

1. أحصِ جميع نشرات Oray Pugongying X5 Pro، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تحذيرhttps://vuldb.com/cve/CVE-2026-116236
• تحذيرhttps://vuldb.com/submit/1005084
• مرجعhttps://app.notion.com/p/Oray-Pgyer-X5-Pro-Router-7-6-1-Root-Code-Execution-via-PPPoE-plugin-Option-3ea797159f1580149a5de8deddac48c5
• مرجعhttps://vuldb.com/vuln/426285
• مرجعhttps://vuldb.com/vuln/426285/cti