Chengdu Feiyuxing Technology VW2100
Chengdu Feiyuxing VW2100 e VEC10GP: injection di comandi OS nell'endpoint Weixin
Il problema, secondo i dati ufficiali
- Nella funzione handle_wechat_cn_wifi del file var/html/webserver, componente Weixin Auth Endpoint, la manipolazione dell'argomento "extend" permette una os command injection. La falla riguarda Chengdu Feiyuxing Technology VW2100 e VEC10GP.
- Secondo il punteggio ufficiale, l'attacco si sfrutta via rete (quindi anche da internet, se il servizio è esposto) e senza bisogno di un account.
- È stato pubblicato un exploit. Il produttore è stato contattato in anticipo ma non ha risposto.
- La scheda raccoglie 2 vulnerabilità pubblicate lo stesso giorno sullo stesso prodotto: i dati sopra sono quelli della più grave.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Fonti ufficiali
- vuldb.com — riferimento
- vuldb.com — riferimento
- vuldb.com — riferimento
- vuldb.com — riferimento
- github.com — riferimento
Descrizione ufficiale (in inglese)
A vulnerability was found in Chengdu Feiyuxing Technology VW2100 and VEC10GP 1.0 B-MB3W202-210825-r11775. This impacts the function handle_wechat_cn_wifi of the file var/html/webserver of the component Weixin Auth Endpoint. The manipulation of the argument extend results in os command injection. The attack can be executed remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Non sai se ti riguarda?
Se usi Chengdu Feiyuxing Technology VW2100 e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 12 novembre 2026. Prima di intervenire verifica l'avviso del produttore.