¿Qué es y cómo funciona la falla?
Se trata de una vulnerabilidad de tipo path traversal (CWE-22) en el firmware del router DrayTek Vigor2960. El problema reside en la función sub_1E084 del archivo /cgi-bin/mainfunction.cgi?action=doWebBackup. La manipulación del argumento option permite a un atacante acceder a directorios y archivos del sistema fuera del directorio restringido previsto.
Productos y versiones afectadas
La vulnerabilidad afecta específicamente a los dispositivos DrayTek Vigor2960 que ejecutan la versión de firmware 1.5.1.6.
Impacto real
La vulnerabilidad tiene una puntuación CVSS de 9.9 (Crítica). Un atacante remoto podría explotarla para descubrir archivos y directorios sensibles del sistema (técnica MITRE ATT&CK T1083). Según datos de Shodan, actualmente hay 0 hosts indexados públicamente con esta vulnerabilidad detectada, lo que sugiere una exposición directa en internet limitada, aunque no nula.
¿Se está explotando?
El exploit es público y puede estar en uso. El CVE fue catalogado como crítico/alto por el NVD en las últimas 24 horas.
¿Qué hacer?
El fabricante, DrayTek, recomienda actualizar el firmware a la versión 1.5.1.7 para resolver este problema. En sus palabras: "1.5.1.6 isn't the latest version of 2960, the latest version fixes many security issues. And we have another one in our release plan which should solve the issues reported." Se debe proceder a la actualización del componente afectado lo antes posible.
| CVE | CVE-2026-129450 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.9 / 10 |
| CWE | CWE-22 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.