CVE-2020-15568
Publiée le 2021-01-30 · Dernière modification le 2026-06-17
Les versions de TerraMaster TOS antérieures à 4.1.29 sont vulnérables à l'injection de code à distance via le fichier `exportUser.php`. Un attaquant peut envoyer une requête réseau spécialement conçue pour exécuter des commandes arbitraires du système d'exploitation avec des privilèges root, lui octroyant ainsi le contrôle total de l'appareil. Cette attaque ne nécessite ni authentification ni interaction de l'utilisateur et peut être effectuée à distance via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
TerraMaster TOS before 4.1.29 has Invalid Parameter Checking that leads to code injection as root. This is a dynamic class method invocation vulnerability in include/exportUser.php, in which an attacker can trigger a call to the exec method with (for example) OS commands in the opt parameter.