Descripción
DrayTek Vigor3900, Vigor2960, and Vigor300B devices contain an OS command injection vulnerability in cgi-bin/mainfunction.cgi/cvmcfgupload that allows for remote code execution via shell metacharacters in a filename when the text/x-python-script content type is used.
Acción recomendada
Aplicar las mitigaciones del fabricante; si no están disponibles, discontinuar el uso del producto.
Referencias
- ) draytek.com/about/security-advisory/vigor3900-/-vigor2960-/-vigor300b…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2020-15415
Otras vulnerabilidades de DrayTek en el catálogo
- CVE-2024-12987 Vulnerabilidad de inyección de comandos del sistema operativo en DrayTek Vigor Routers Alta 15-05-2025
- CVE-2021-20124 Draytek VigorConnect Path Traversal Vulnerability Alta 03-09-2024
- CVE-2021-20123 Draytek VigorConnect Path Traversal Vulnerability Alta 03-09-2024
- CVE-2020-8515 Multiple DrayTek Vigor Routers Web Management Page Vulnerability Alta 03-11-2021