CVE-2026-107441

Les commutateurs Zyxel GS1900-24E utilisant des versions de firmware allant jusqu'à 2.90(AAHK.2)C0 sont concernés. La faille se situe dans le programme CGI de l'appareil, qui gère les requêtes d'administration via l'interface web. Une écriture hors limites se produit lorsque le système traite une requête HTTP spécifiquement conçue, permettant l'écriture de données en dehors du tampon mémoire prévu.

Un attaquant peut utiliser cette faille pour exécuter des commandes arbitraires du système d'exploitation, lui donnant ainsi le contrôle total de la configuration et du trafic du commutateur. Cela compromet la confidentialité, l'intégrité et la disponibilité de l'appareil. L'exploitation est simple et ne nécessite ni authentification ni interaction de l'utilisateur, bien que l'attaquant doive avoir un accès réseau au segment local de l'appareil.