Linksys E5350
Linksys E5350: command injection del sistema operativo in /wizard/apply.cgi
Il problema, secondo i dati ufficiali
- Nella funzione system del file /wizard/apply.cgi, la manipolazione dei parametri ping_ip o traceroute_ip provoca un'iniezione di comandi del sistema operativo (OS command injection).
- Secondo il punteggio ufficiale, l'attacco si sfrutta via rete, quindi anche da internet se il servizio è esposto, senza bisogno di un account.
- È stato pubblicato un exploit. Il produttore è stato contattato in anticipo ma non ha risposto.
- La scheda raccoglie 2 vulnerabilità pubblicate lo stesso giorno sullo stesso prodotto: i dati sopra sono quelli della più grave.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se il servizio è raggiungibile da internet e non puoi aggiornare subito, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- E5350: 1.0.00.037
Fonti ufficiali
- vuldb.com — riferimento
- vuldb.com — riferimento
- vuldb.com — riferimento
- vuldb.com — riferimento
- vuldb.com — riferimento
Descrizione ufficiale (in inglese)
A vulnerability was detected in Linksys E5350 1.0.00.037. This affects the function system of the file /wizard/apply.cgi. Performing a manipulation of the argument ping_ip/traceroute_ip results in os command injection. The attack may be initiated remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Non sai se ti riguarda?
Se usi Linksys E5350 e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 4 novembre 2026. Prima di intervenire verifica l'avviso del produttore.