Qué es y cómo funciona
Se ha descubierto una vulnerabilidad crítica de inyección de comandos en el router DrayTek Vigor2960. La falla reside en la función set_table del archivo /cgi-bin/mainfunction.cgi. Un atacante puede manipular el argumento jsondata para inyectar y ejecutar comandos arbitrarios en el sistema.
Productos y versiones afectadas
El router DrayTek Vigor2960 en su versión 1.5.1.6 es el afectado. El fabricante indica que esta no es la última versión disponible.
Impacto y severidad
La vulnerabilidad tiene una puntuación CVSS de 9.1 (Crítica). Un atacante puede explotarla de forma remota para tomar control del dispositivo.
Explotación pública y exposición
El exploit ha sido divulgado públicamente y podría estar en uso. Sin embargo, según datos de Shodan, actualmente hay 0 hosts expuestos en internet detectados con esta vulnerabilidad específica, lo que sugiere un volumen bajo de objetivos inmediatamente visibles.
Qué hacer
El fabricante DrayTek recomienda actualizar el firmware. La versión 1.5.1.7 resuelve este problema, y se indica que la última versión disponible soluciona múltiples problemas de seguridad. Se sugiere actualizar el componente afectado de inmediato.
| CVE | CVE-2026-129452 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.1 / 10 |
| CWE | CWE-74, CWE-77 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).