Oray Pugongying X5 Pro: Unzureichende Autorisierung in der API-Autorisierung
Zusammenfassung
Die Komponente API-Autorisierung (run_apis_by_json/run_async_task) der Router-Firmware Oray Pugongying X5 Pro bis Version 7.6.1 prüft Berechtigungen nicht korrekt. Ein Angreifer mit einem gültigen Login, auch mit einem eingeschränkten Konto, kann laut einer Drittquelle möglicherweise privilegierte Aktionen wie einen Werksreset auslösen. Ein öffentlicher Exploit ist gemeldet, der Hersteller hat auf die Offenlegung jedoch nicht reagiert.
Betroffen
- Oray Pugongying X5 Pro Firmware 7.6.0
- Oray Pugongying X5 Pro Firmware 7.6.1
- Ältere Versionen: bis 7.6.1 gemäss CVE-Beschreibung
Behoben in
Unbekannt.
Umgehung
- Kein Workaround des Herstellers dokumentiert.
- Management-Oberfläche auf vertrauenswürdige Hosts oder ein VPN mit starker Authentifizierung beschränken.
- Remote-/WAN-Management deaktivieren.
Ausnutzung
- Öffentlicher Exploit: in der Offenlegung erwähnt und von OffSeq aufgeführt.
- In freier Wildbahn: keine bestätigte Ausnutzung gefunden.
- CVSS-4.0-Wert: 8.6 gemäss CVE-Daten; VulDB nennt 9.9 und OffSeq 9.4.
Unsere Empfehlung
- Prüfen, ob das Gerät im Einsatz ist und ob Remote-Management aktiviert ist.
- WAN-seitiges Management deaktivieren und Administrationszugriff auf vertrauenswürdige Hosts beschränken.
- Nicht benötigte oder eingeschränkte Konten prüfen und entfernen.
- Auf unerwartete Konfigurationsänderungen oder Resets achten und ein aktuelles Konfigurations-Backup aufbewahren.
- Ohne Firmware-Fix des Herstellers den Ersatz oder die Isolation betroffener Geräte planen.
- Die gesamte Firmware-Linie bewerten, da Ende Oktober 2026 viele verwandte CVEs veröffentlicht wurden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulDB CVE-2026-120224 vuldb.com
- VulDB entry 429583 vuldb.com
- Third-party write-up (Notion) app.notion.com
- OffSeq Radar CVE-2026-120224 radar.offseq.com
- VulDB submission 1005085 (related CVEs) vuldb.com
- OpenCVE CVE-2026-116237 (mitigation advice for sibling CVE) app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:21.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.