PT-2025-12692 · H3C · H3C Magic Nx30 Pro+4

Qwen

·

Publicado

2025-03-24

·

Atualizado

2025-04-11

·

CVE-2025-2730

CVSS v2.0

7.7

Alta

VetorAV:A/AC:L/Au:S/C:C/I:C/A:C
Nome do Software Vulnerável e Versões Afetadas H3C Magic NX15 versões até a V100R014 H3C Magic NX30 Pro versões até a V100R014 H3C Magic NX400 versões até a V100R014 H3C Magic R3010 versões até a V100R014 H3C Magic BE18000 versões até a V100R014
Descrição Uma vulnerabilidade crítica foi encontrada na série H3C Magic, afetando uma função desconhecida do arquivo "/api/wizard/getssidname" do componente Manipulador de Requisição HTTP POST. A manipulação resulta em injeção de comandos, e é possível executar o ataque remotamente. O exploit foi divulgado publicamente e pode ser utilizado. O fabricante foi contatado com antecedência sobre esta divulgação, mas não respondeu de forma alguma.
Recomendações Como solução temporária, considere desabilitar o endpoint da API "/api/wizard/getssidname" até que uma correção esteja disponível. Restrinja o acesso ao componente Manipulador de Requisição HTTP POST para minimizar o risco de exploração. Evite utilizar os produtos afetados da série H3C Magic até que uma correção seja fornecida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Special Elements Injection

Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2025-2730

Produtos afetados

H3C Magic Be18000
H3C Magic Nx15
H3C Magic Nx30 Pro
H3C Magic Nx400
H3C Magic R3010