Linksys EA8100
Linksys EA8100: mancata autenticazione nell'API JNAP, exploit pubblicato
Il problema, secondo i dati ufficiali
- Nel router Linksys EA8100 le funzioni SetRemoteSetting e SetUnsecuredWiFiWarning del file ui_server.lua, parte del componente JNAP API, non verificano l'autenticazione. Manipolando il parametro isEnabled/enabled si possono eseguire queste operazioni senza essere autenticati.
- L'attacco si può avviare da remoto, via rete (quindi anche da internet, se il servizio è esposto), senza bisogno di un account.
- È stato pubblicato un exploit. Il produttore è stato contattato per tempo, ma non ha risposto.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- EA8100: 1.0.3.216940
Fonti ufficiali
- vuldb.com — riferimento
- vuldb.com — riferimento
- vuldb.com — riferimento
- vuldb.com — riferimento
- github.com — riferimento
Descrizione ufficiale (in inglese)
A vulnerability was determined in Linksys EA8100 1.0.3.216940. This issue affects the function SetRemoteSetting/SetUnsecuredWiFiWarning of the file ui_server.lua of the component JNAP API. This manipulation of the argument isEnabled/enabled causes missing authentication. It is possible to initiate the attack remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Non sai se ti riguarda?
Se usi Linksys EA8100 e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.