Oray Pugongying X5 Pro: Pfadtraversierung bei der Konfigurationswiederherstellung

Zusammenfassung

Die Router-Firmware Oray Pugongying X5 Pro bis Version 7.6.1 enthält eine relative Pfadtraversierung in der Funktion config_restore_ex, die den Parameter filename bei der Wiederherstellung der Konfiguration verarbeitet. Ein Angreifer mit hohen Privilegien im Netzwerk kann mit einem manipulierten Dateinamen auf Dateien ausserhalb des vorgesehenen Verzeichnisses zugreifen. Ein öffentlicher Proof-of-Concept existiert, und der Hersteller hat auf die frühzeitige Meldung nicht reagiert. Eine korrigierte Firmware ist nicht bekannt.

Betroffen

• Oray Pugongying X5 Pro bis 7.6.1 (VulDB)
• Die Versionen 7.6.0 und 7.6.1 sind im CVE-Eintrag aufgeführt
• Vollständige Liste der betroffenen Versionen vom Hersteller nicht bestätigt

Behoben in

Unbekannt. Es wurde keine korrigierte Firmware gefunden.

Umgehung

• Keine Herstellermassnahme verfügbar.
• Die Web-Verwaltungsoberfläche nicht über das WAN erreichbar machen und Portweiterleitungen dorthin entfernen.
• Den Verwaltungszugriff auf ein Management-VLAN oder bestimmte IP-Adressen beschränken.
• Das Verwaltungspasswort ändern und prüfen, wer es kennt.
• Konfigurationssicherungen vor einer Wiederherstellung prüfen und kontrollieren, ob das Gerät aus einer unbekannten Datei wiederhergestellt wurde.

Ausnutzung

• Öffentlicher Proof-of-Concept verfügbar (VulDB-Status: Proof-of-Concept).
• Zum Zeitpunkt der Recherche wurde keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Gemäss den gefundenen Quellen nicht im CISA-KEV-Katalog aufgeführt.
• Laut CVSS-Vektor sind hohe Privilegien erforderlich (PR:H).

Unsere Empfehlung

• Prüfen, ob das Gerät aus unvertrauenswürdigen Netzwerken, einschliesslich dem Internet, erreichbar ist, und diese Exposition beseitigen.
• Administrativen Zugriff nur aus vertrauenswürdigen Management-Netzwerken zulassen.
• Gerät ersetzen oder isolieren, falls keine korrigierte Firmware verfügbar ist und der Zugriff nicht eingeschränkt werden kann.
• Die Firmware-Seite des Herstellers regelmässig auf eine korrigierte Version prüfen und diese sofort einspielen, sobald sie verfügbar ist.
• Das Gerät auf unerwartete Konfigurationsänderungen oder Wiederherstellungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulDB entry for CVE-2026-120225 vuldb.com
• VulDB CVE page vuldb.com
• OffSeq threat page for CVE-2026-120225 radar.offseq.com
• Public write-up for CVE-2026-120225 (Notion) app.notion.com
• Affected version list (third-party, related CVE) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:21.