Descripción
Draytek VigorConnect contains a path traversal vulnerability in the DownloadFileServlet endpoint. An unauthenticated attacker could leverage this vulnerability to download arbitrary files from the underlying operating system with root privileges.
Acción recomendada
Aplicar las mitigaciones del fabricante; si no están disponibles, discontinuar el uso del producto.
Referencias
- ) draytek.com/about/security-advisory/vigorconnect-software-security-vu…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2021-20123
Otras vulnerabilidades de DrayTek en el catálogo
- CVE-2024-12987 Vulnerabilidad de inyección de comandos del sistema operativo en DrayTek Vigor Routers Alta 15-05-2025
- CVE-2020-15415 DrayTek Multiple Vigor Routers OS Command Injection Vulnerability Alta 30-09-2024
- CVE-2021-20124 Draytek VigorConnect Path Traversal Vulnerability Alta 03-09-2024
- CVE-2020-8515 Multiple DrayTek Vigor Routers Web Management Page Vulnerability Alta 03-11-2021