高 8.8

SureLine に認証済みの攻撃者が root 権限でコマンドを実行できる脆弱性

CVE-2026-112351 SecPulse初出 4:43

概要

SureLine の networkDiag.cgi に、OS コマンドインジェクションの脆弱性が見つかりました。Web アカウントを持つ攻撃者が ipAddr や dnsAddr の入力欄から任意のコマンドを root 権限で実行でき、システム全体を乗っ取られるおそれがあります。影響を受けるのは 8.6.0 以降 9.1.5 未満の版で、修正版は 9.1.5 です。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
Sunhillo Corporation	SureLine	8.6.0 以上 9.1.5 未満	9.1.5

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Sunhillo SureLine before 9.1.5 contains an OS command injection vulnerability in the networkDiag.cgi endpoint that allows an authenticated remote attacker with any web account to execute arbitrary commands as root by injecting shell metacharacters into the ipAddr or dnsAddr parameters. Attackers can bypass the incomplete character denylist from the prior CVE-2021-36380 fix using URL-encoded newline (%0a) or ampersand (%26) sequences that act as command separators after decoding in the ping, nslookup, or traceroute diagnostic modes, leading to full system compromise.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory