Draytek · Draytek Vigor300B · CVE-2024-43027
**Nome do software vulnerável e versões afetadas**
DrayTek Vigor 3900, versões anteriores à v1.5.1.5 Beta
DrayTek Vigor 2960, versões anteriores à v1.5.1.5 Beta
DrayTek Vigor 300B, versões anteriores à v1.5.1.5 Beta
**Descrição**
Foi descoberta uma vulnerabilidade de injeção de comando por meio do parâmetro `action` no endpoint “cgi-bin/mainfunction.cgi”. Esse problema permite a injeção de comando, podendo levar a acesso ou controle não autorizado.
**Recomendações**
Para as versões do DrayTek Vigor 3900 anteriores à v1.5.1.5 Beta, atualize para a versão v1.5.1.5 Beta ou posterior.
Para versões do DrayTek Vigor 2960 anteriores à v1.5.1.5 Beta, atualize para a versão v1.5.1.5 Beta ou posterior.
Para versões do DrayTek Vigor 300B anteriores à v1.5.1.5 Beta, atualize para a versão v1.5.1.5 Beta ou posterior.
Como solução temporária, considere restringir o acesso ao endpoint “cgi-bin/mainfunction.cgi” até que um patch esteja disponível. Evite usar o parâmetro `action` no endpoint afetado até que o problema seja resolvido.