PT-2021-8208 · Draytek · Draytek Vigorconnect

Publicado 2021-10-12 · Atualizado 2021-10-19 · CVE-2021-20126

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

DrayTek VigorConnect versão 1.6.0-B3

Descrição

O problema está relacionado à falta de proteções contra falsificação de solicitações entre sites (CSRF) e à verificação insuficiente de solicitações bem formadas, válidas e consistentes. Isso poderia permitir que um invasor remoto explorasse a vulnerabilidade.

Recomendações

Para o DrayTek VigorConnect versão 1.6.0-B3, considere implementar medidas de segurança adicionais para proteção contra ataques de falsificação de solicitação entre sites até que um patch esteja disponível. Como solução temporária, restrinja o acesso a áreas confidenciais do aplicativo para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Unrestricted File Upload

Path traversal

CSRF

Enumeração de Fraquezas

CWE-434

CWE-22

CWE-352

Identificadores relacionados

BDU:2024-11435

CVE-2021-20126

Produtos afetados

Draytek Vigorconnect

Referências · 6

• 🔥 https://tenable.com/security/research/tra-2021-42 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2021-20126 · Nota de Segurança
• https://bdu.fstec.ru/vul/2024-11435 · Nota de Segurança
• https://t.me/cibsecurity/30520 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-20126 · Aviso do Fabricante
• https://draytek.co.uk/support/downloads/vigorconnect · Nota