¿Qué es esta vulnerabilidad?
Se trata de una falla de path traversal (CWE-22) en la función app_guest_export del archivo /cgi-bin/mainfunction.cgi de los routers DrayTek Vigor2960. Al manipular el argumento filename, un atacante remoto puede acceder a archivos fuera del directorio permitido.
Productos y versiones afectadas
DrayTek Vigor2960 en todas las versiones hasta la 1.5.1.6 inclusive.
Impacto y explotación
Con un CVSS de 9.9 (crítico), esta vulnerabilidad permite descubrimiento de archivos y directorios (T1083 de MITRE ATT&CK). El exploit ya es público y podría estar siendo utilizado, aunque Shodan aún no reporta hosts expuestos en internet.
Mitigación
DrayTek recomienda actualizar a la versión 1.5.1.7 o superior. Según el fabricante: "1.5.1.6 no es la última versión de 2960, la última versión corrige muchos problemas de seguridad. Y tenemos otra en nuestro plan de lanzamiento que debería resolver los problemas reportados".
| CVE | CVE-2026-129451 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.9 / 10 |
| CWE | CWE-22 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.