CVE-2024-40890highbajo ataqueCWE-78

CVE-2024-40890: fallo de gravedad alta en Zyxel VMG4325-B10A firmware

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear VMG4325-B10A+ Monitorear DSL CPE Devices

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

56Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA.

ssvc Actcvss 8.8epss 21%
de la publicación al arma
Publicada en NVD4 feb
CISA KEV+7d
Acción exigida por CISAplazo federal: 2025-03-04

The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization if a current mitigation is unavailable.

En resumen

Un atacante autenticado puede ejecutar comandos del sistema operativo en un módem Zyxel enviando una solicitud HTTP especialmente diseñada. Esto permite control total del dispositivo después de iniciar sesión.

Detalle técnico

Inyección de comando post-autenticación en el programa CGI del firmware Zyxel VMG4325-B10A versión 1.00(AAFR.4)C0_20170615 mediante solicitudes HTTP POST manipuladas. Requiere credenciales de autenticación válidas; la explotación exitosa permite ejecución de comandos con privilegios del dispositivo.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

**UNSUPPORTED WHEN ASSIGNED** A post-authentication command injection vulnerability in the CGI program of the legacy DSL CPE Zyxel VMG4325-B10A firmware version 1.00(AAFR.4)C0_20170615 could allow an authenticated attacker to execute operating system (OS) commands on an affected device by sending a crafted HTTP POST request.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Zyxel · VMG4325-B10A firmware
CVEs relacionadas — Zyxel VMG4325-B10A firmware

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-40891HIGHCVE-2024-40891EPSS 22.9%KEVCVE-2025-0890CRITICALCVE-2025-0890EPSS 14.4%