PT-2026-33723 · Adm · Adm

Publicado

2026-04-20

·

Atualizado

2026-05-20

·

CVE-2026-6644

CVSS v4.0

9.4

Crítica

VetorAV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Nome do Software Vulnerável e Versões Afetadas ADM versões 4.1.0 até 4.3.3.RR42 ADM versões 5.0.0 até 5.1.2.REO1
Description Um problema de injeção de comando existe nos Clientes VPN PPTP do ASUSTOR ADM. Isso ocorre porque a entrada fornecida pelo usuário não é validada adequadamente antes de ser passada para um shell do sistema, permitindo que um usuário administrativo autenticado saia do ambiente web restrito e execute códigos arbitrários de nível de root no sistema operacional subjacente. A exploração bem-sucedida pode levar à Execução Remota de Código (RCE) e ao comprometimento total do sistema. Aproximadamente 14.537 ativos expostos relacionados à ASUSTOR foram identificados.
Recommendations Atualizar as versões do ADM 4.1.0 até 4.3.3.RR42 para uma versão corrigida. Atualizar as versões do ADM 5.0.0 até 5.1.2.REO1 para a versão 5.1.3.RGO1 ou 5.1.3.RGL1.

Exploit

Correção

RCE

OS Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-6644

Produtos afetados

Adm