Netcore Power 15AX डायग्नोस्टिक टूल (Diagnostic Tool) netis.cgi सेटटूल्स (setTools) ओएस (os) कमांड इंजेक्शन (command injection)

Netcore Power 15AX उपकरणों में एक गंभीर सुरक्षा भेद्यता पाई गई है, संस्करण 3.0.0.6938 तक, जिसे CVE-2026-4840 के रूप में वर्गीकृत किया गया है। यह भेद्यता डायग्नोस्टिक टूल इंटरफ़ेस के हिस्से के रूप में फ़ाइल '/bin/netis.cgi' में 'setTools' फ़ंक्शन के भीतर मौजूद है। एक दूरस्थ हमलावर 'IpAddr' तर्क में हेरफेर करके ऑपरेटिंग सिस्टम कमांड इंजेक्ट करके इस भेद्यता का फायदा उठा सकता है। भेद्यता की गंभीरता उच्च है (CVSS 8.8) क्योंकि यह आसानी से शोषण योग्य है और डिवाइस तक अनधिकृत पहुंच की संभावना है। शोषण के सार्वजनिक प्रकाशन से स्थिति और खराब हो गई है, जिससे सक्रिय हमलों का खतरा बढ़ गया है। इस जोखिम को कम करने के लिए कदम उठाना महत्वपूर्ण है, हालांकि विक्रेता ने अभी तक कोई आधिकारिक समाधान प्रदान नहीं किया है।

Organizations utilizing Netcore Power 15AX devices in industrial control systems, power management networks, or any environment where remote access is enabled are at significant risk. Specifically, deployments with weak network segmentation or lacking WAF protection are particularly vulnerable. Shared hosting environments where multiple customers share the same device also face increased exposure.

• linux / server:

journalctl -u netis -g "command injection"

• generic web:

curl -I http://<device_ip>/bin/netis.cgi?IpAddr="; whoami > /tmp/output.txt;"

• generic web:

grep -r "IpAddr=.*;" /var/log/apache2/access.log

1. 2026-03-26Disclosure

   disclosure

1. आरक्षित2026-03-25
2. प्रकाशित2026-03-26
3. संशोधित2026-03-30
4. EPSS अद्यतन2026-04-02

चूंकि विक्रेता ने CVE-2026-4840 के लिए पैच (फिक्स) जारी नहीं किया है, इसलिए शमन विकल्प सीमित हैं और हमले की सतह को कम करने पर ध्यान केंद्रित करना चाहिए। Netcore Power 15AX उपकरणों को महत्वपूर्ण प्रणालियों से अलग करने के लिए नेटवर्क विभाजन की दृढ़ता से अनुशंसा की जाती है। विश्वसनीय स्रोतों से '/bin/netis.cgi' तक पहुंच को सीमित करने के लिए सख्त फ़ायरवॉल नियमों को लागू करना आवश्यक है। कमांड इंजेक्शन से संबंधित संदिग्ध पैटर्न के लिए नेटवर्क ट्रैफ़िक की निगरानी संभावित हमलों का पता लगाने और उनका जवाब देने में मदद कर सकती है। यदि संभव हो तो, उपलब्ध सुरक्षा पैच के साथ अधिक सुरक्षित मॉडल के साथ प्रभावित उपकरणों को बदलने पर विचार करें। विक्रेता की प्रतिक्रिया की कमी इन निवारक उपायों के महत्व पर प्रकाश डालती है।