CVE-2025-67038
CVE-2025-67038
Vexday Risk Score
58Atenção
Decisão SSVC (CISA)
Act
Exploração + impacto → ação imediata
CVSS 9.8EPSS 1.1%KEV simPoC —Nuclei —Metasploit —Patch —
Ciclo de vida
11 mar 2026Publicada no NVD
23 jun 2026Exploração ativa (CISA KEV)
Recomendação: Corrigir o quanto antes — há exploração ativa confirmada.
Em resumo
O dispositivo Lantronix EDS5000 permite que atacantes executem comandos arbitrários como root ao injetar código malicioso no campo de nome de usuário durante tentativas de login. Um invasor pode obter controle total do dispositivo sem precisar de credenciais válidas.
Detalhe técnico
CWE-94 (Controle Inadequado da Geração de Código) via injeção de comando OS no módulo HTTP RPC durante escrita de logs. O parâmetro username é concatenado sem sanitização em um comando shell executado em autenticação falhada, permitindo execução de código remoto não autenticado com privilégios root. Nenhuma condição especial é necessária além de acesso à rede na interface HTTP.
Resumo gerado e traduzido por IA a partir da descrição oficial.
An issue was discovered in Lantronix EDS5000 2.1.0.0R3. The HTTP RPC module executes a shell command to write logs when user's authantication fails. The username is directly concatenated with the command without any sanitization. This allow attackers to inject arbitrary OS commands into the username parameter. Injected commands are executed with root privileges.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
n/a · n/aQuer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →