El router Netcore NBR200V2 (versión 1.3.241127.071246) tiene una falla de inyección de comandos en el archivo /www/cgi-bin/network_tools, dentro del endpoint CGI de diagnóstico. Un atacante puede manipular los parámetros param, key o val para ejecutar comandos arbitrarios en el dispositivo, y la explotación es posible de forma remota. Con un CVSS de 10.0, es una vulnerabilidad crítica.
El exploit ya fue divulgado públicamente y podría ser usado en ataques reales. El fabricante fue contactado de forma temprana pero no respondió, por lo que no hay parche disponible al momento de esta publicación.
| CVE | CVE-2026-94097 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 10.0 / 10 |
| EPSS | 2.0% en 30 días (percentil 80) |
| CWE | CWE-74, CWE-77 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Vulnerabilidad crítica (CVSS 10.0
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).