CVE-2020-15415
Publiée le 2020-06-30 · Dernière modification le 2026-06-17 KEV — activement exploitée
Les routeurs DrayTek Vigor3900, 2960 et 300B sont affectés par une faille dans l'utilitaire de téléchargement de configuration. Un attaquant peut exécuter des commandes système arbitraires pour prendre le contrôle total de l'appareil en envoyant une requête spécialement conçue contenant un nom de fichier malveillant. Cette attaque peut être réalisée à distance via le réseau, sans nécessiter d'authentification ni d'interaction de l'utilisateur.
ACTIVEMENT EXPLOITÉE (KEV DE LA CISA)
DrayTek Multiple Vigor Routers OS Command Injection Vulnerability — DrayTek Vigor3900, Vigor2960, and Vigor300B devices contain an OS command injection vulnerability in cgi-bin/mainfunction.cgi/cvmcfgupload that allows for remote code execution via shell metacharacters in a filename when the text/x-python-script content type is used. Ajoutée au catalogue KEV de la CISA le 2024-09-30. Date limite de correction (agences fédérales américaines) : 2024-10-21.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
On DrayTek Vigor3900, Vigor2960, and Vigor300B devices before 1.5.1, cgi-bin/mainfunction.cgi/cvmcfgupload allows remote command execution via shell metacharacters in a filename when the text/x-python-script content type is used, a different issue than CVE-2020-14472.