CVE-2026-120283
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les routeurs Linksys E8450 utilisant la version 1.2.00.360516 du micrologiciel sont concernés. La faille se situe dans l'interface web `portal.cgi`, qui gère le portail d'administration du routeur. Plus précisément, le logiciel utilise une fonction non sécurisée pour traiter l'argument `hidden_timezone`, ce qui permet à une entrée spécialement conçue de provoquer un dépassement de tampon mémoire.
Un attaquant distant peut exploiter cette vulnérabilité pour faire planter l'appareil ou exécuter du code arbitraire avec des privilèges élevés, compromettant ainsi la confidentialité, l'intégrité et la disponibilité du réseau. Cette attaque est relativement facile à réaliser car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et seulement un accès réseau basique au portail web du routeur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A vulnerability was identified in Linksys E8450 1.2.00.360516. Affected is the function strcpy of the file /www/cgi-bin/portal.cgi. Such manipulation of the argument hidden_timezone leads to stack-based buffer overflow. The attack can be executed remotely. The vendor was contacted early about this disclosure but did not respond in any way.