Plataforma
linux
Componente
voltronic-power-snmp-web-pro
Corregido en
1.1.1
Se ha descubierto una vulnerabilidad de recorrido de ruta (Path Traversal) en Voltronic Power SNMP Web Pro, versiones 1.1. Esta falla permite a atacantes no autenticados leer archivos arbitrarios en el sistema de archivos del dispositivo. La explotación exitosa de esta vulnerabilidad podría resultar en la divulgación de información sensible, como hashes de contraseñas, lo que podría llevar a la toma de control del sistema. La versión corregida es 7.6.47.
La vulnerabilidad de recorrido de ruta en Voltronic Power SNMP Web Pro permite a un atacante no autenticado acceder a archivos sensibles en el dispositivo. Al manipular el parámetro 'params' en el endpoint 'upload.cgi' con secuencias de recorrido de ruta, un atacante puede leer archivos fuera del directorio previsto. Esto podría incluir archivos de configuración, archivos de registro y, lo más preocupante, archivos que contienen hashes de contraseñas. Si se ven comprometidos estos hashes, podrían ser crackeados offline para obtener acceso de nivel root al dispositivo, permitiendo al atacante controlar completamente el sistema. La gravedad de esta vulnerabilidad radica en su facilidad de explotación y el potencial de acceso completo al dispositivo, lo que podría afectar la disponibilidad y la confidencialidad de los datos gestionados por el dispositivo.
Esta vulnerabilidad fue publicada el 2026-03-13. No se ha confirmado la explotación activa en entornos reales, pero la naturaleza pre-autenticada de la vulnerabilidad y la facilidad de explotación la convierten en un objetivo atractivo para los atacantes. No se ha listado en el KEV de CISA ni se ha asociado con un EPSS score. La disponibilidad de una prueba de concepto pública podría aumentar significativamente el riesgo de explotación.
Organizations utilizing Voltronic Power SNMP Web Pro version 1.1 for network management are at risk. This includes deployments in industrial control systems (ICS) and building automation systems where SNMP is commonly used for device monitoring and configuration. Shared hosting environments that utilize this software are particularly vulnerable due to the potential for cross-tenant exploitation.
• linux / server:
journalctl -u snmpwebpro | grep -i "upload.cgi"• linux / server:
lsof | grep upload.cgi | grep /tmp• generic web:
curl -I 'http://<target_ip>/upload.cgi?params=../../../../etc/passwd' # Check for 200 OK response indicating file accessdisclosure
Estado del Exploit
EPSS
0.04% (10% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para esta vulnerabilidad es actualizar Voltronic Power SNMP Web Pro a la versión 7.6.47 o superior, que incluye la corrección. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Restrinja el acceso al endpoint 'upload.cgi' mediante reglas de firewall o listas de control de acceso (ACL) para limitar el acceso solo a fuentes confiables. Implemente una Web Application Firewall (WAF) con reglas que detecten y bloqueen intentos de recorrido de ruta en el parámetro 'params'. Monitoree los registros del sistema en busca de patrones sospechosos, como solicitudes con secuencias de recorrido de ruta en el parámetro 'params'. Después de la actualización, confirme la mitigación verificando que el endpoint 'upload.cgi' ya no sea vulnerable al recorrido de ruta mediante una prueba manual o con una herramienta de escaneo de vulnerabilidades.
Actualice el dispositivo a una versión corregida proporcionada por Voltronic Power. Verifique el sitio web oficial de Voltronic Power o contacte con su soporte técnico para obtener información sobre las actualizaciones disponibles. Como medida temporal, desactive la funcionalidad de carga de archivos hasta que se pueda aplicar una actualización.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-22199 is a vulnerability allowing unauthenticated attackers to read arbitrary files on Voltronic Power SNMP Web Pro version 1.1, potentially exposing sensitive data like password hashes.
You are affected if you are using Voltronic Power SNMP Web Pro version 1.1. Upgrade to version 7.6.47 or later to mitigate the risk.
Upgrade to version 7.6.47 or later. As a temporary workaround, restrict access to the upload.cgi endpoint using a firewall or proxy.
While no active exploitation has been confirmed, the ease of exploitation suggests it is likely to be targeted.
Refer to the Voltronic Power website for the official advisory and further details regarding this vulnerability.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.