9.8Crítica
KEV
CVE-2018-14933NUUO NVRmini Devices OS Command Injection Vulnerability
Explotación conocida — NUUO NVRmini Devices OS Command Injection Vulnerability
CISA confirmó el 18.12.2024 que esta vulnerabilidad se usa en ataques reales. Plazo para las agencias federales de EE. UU.: 08.01.2025.
Acción requerida: The impacted product is end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue utilization of the product. https://nuuo.com/wp-content/uploads/2023/03/NUUO-EOL-letter%EF%BC%BFNVRmini-2-and-NVRsolo-series.pdf ; https://nvd.nist.gov/vuln/detail/CVE-2018-14933
Descripción
upgrade_handle.php on NUUO NVRmini devices allows Remote Command Execution via shell metacharacters in the uploaddir parameter for a writeuploaddir command.
Debilidad (CWE):
CWE-78
Datos: CVE.org, NVD, CISA KEV, FIRST EPSS, Ubuntu. Se publican tal como los indican las fuentes, en inglés.
Productos y versiones afectados
| Fabricante | Producto | Versiones | |
|---|---|---|---|
| nuuo | nvrmini firmware | 2016 |
Referencias y parches
- 45070 exploitExploitThird Party AdvisoryVDB Entry
- 46340 exploitExploitThird Party AdvisoryVDB Entry
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-14933 US Government Resource
Coincidencias CPE (NVD) (1)
cpe:2.3:o:nuuo:nvrmini_firmware:2016:*:*:*:*:*:*:*