PT-2025-50974 · Atcom · Atcom 100M Ip Phones

Mohammed Adel · Publicado 2025-12-12 · Atualizado 2025-12-13 · CVE-2024-58314

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Telefones IP Atcom 100M versões 2.7.x.x

Descrição O software contém uma vulnerabilidade de injeção de comando autenticada no script CGI de configuração web. Isso permite que atacantes executem comandos arbitrários do sistema. O parâmetro cmd no script 'web cgi main.cgi' é o ponto de injeção, permitindo a execução remota de código com credenciais administrativas.

Recomendações Aplique atualizações para resolver o problema em versões anteriores à versão corrigida. Como solução temporária, restrinja o acesso ao script 'web cgi main.cgi' para minimizar o risco de exploração. Evite utilizar o parâmetro cmd no script afetado até que o problema seja resolvido.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2024-58314

Produtos afetados

Atcom 100M Ip Phones

Referências · 6

• 🔥 https://exploit-db.com/exploits/51742 · Exploit
• https://atcom.cn/html/yingwenban/Product/Fast_IP_phone/2017/1023/135.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-58314 · Nota de Segurança
• https://twitter.com/CVEnew/status/1999876835727876487 · Publicação no Twitter
• https://vulncheck.com/advisories/atcom-xx-authenticated-command-injection-via-web-configuration-cgi · Nota
• https://twitter.com/CveFindCom/status/1999580051331785184 · Publicação no Twitter