CVE-2026-112351

CVSS 8.8 HIGH RCE

Sunhillo SureLine OS Command Injection via networkDiag.cgi

Công bố: 2026-10-28
Cập nhật: 2026-10-28
Lần đầu thấy: 2026-10-31
Nguồn: NVD, CVE.org

Mô tả

Sunhillo SureLine before 9.1.5 contains an OS command injection vulnerability in the networkDiag.cgi endpoint that allows an authenticated remote attacker with any web account to execute arbitrary commands as root by injecting shell metacharacters into the ipAddr or dnsAddr parameters. Attackers can bypass the incomplete character denylist from the prior CVE-2021-36380 fix using URL-encoded newline (%0a) or ampersand (%26) sequences that act as command separators after decoding in the ping, nslookup, or traceroute diagnostic modes, leading to full system compromise.

Điểm và phân loại

CVSS: 8.8 HIGH v3.1
Nguồn điểm: NVD
Mức độ (theo nguồn): HIGH
EPSS: —
CWE: CWE-78

Vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Ảnh hưởng

Sản phẩm

Sunhillo Corporation SureLine

Vì sao được giữ

CVSS 8.8 >= 8.0

Loại tác động

RCE: CWE-78; từ khoá "command injection"; từ khoá "execute arbitrary commands"

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã: VulnCheck