CVE-2026-19508
CRITICAL(9.8)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS 9.8 — Kritisch
Erwähnungen (letzte 60 Tage)
EPSS-Score
0.8%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
9.8
Technische Schwere
SecBoard-Einordnung
CVE-2026-19508 beschreibt einen Heap-basierten Pufferüberlauf im Multipart-Form-Data-Parser der RDK-B WebUI (Version rdkb-2025q4-kirkstone.04.10.26). Ein nicht authentifizierter Angreifer kann durch eine speziell präparierte multipart/form-data-Anfrage Speicherbeschädigung und Denial of Service verursachen. Potenzielle Auswirkungen umfassen auch die Ausführung von beliebigem Code. Diese Schwachstelle betrifft die Komponente jst_post.c. Die Schwachstelle ist mit einem CVSS-Score von 9.8 als kritisch eingestuft, was auf eine hohe Bedrohung hinweist. Trotz der hohen Kritikalität liegt die EPSS-Wahrscheinlichkeit für eine Ausnutzung bei nur 1%, und die Schwachstelle ist nicht im CISA KEV-Katalog gelistet, was auf keine bekannte aktive Ausnutzung hindeutet. Security-Teams sollten die Verfügbarkeit von Patches für RDK-B WebUI Version rdkb-2025q4-kirkstone.04.10.26 genau überwachen und diese umgehend einspielen, sobald sie veröffentlicht werden. Bis dahin sollten, falls möglich, Netzwerksegmentierung und Zugriffskontrollen implementiert werden, um den Zugriff auf die betroffene Komponente einzuschränken.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
Heap-based buffer overflow in the multipart form-data parser in `jst_post.c` in RDK-B WebUI `rdkb-2025q4-kirkstone.04.10.26` allows a remote unauthenticated attacker to cause memory corruption and denial of service, and potentially execute arbitrary code, via a crafted multipart/form-data request.