漏洞概述 Talos 发现 GeoVision GV-I/O Box 4E 设备中存在多个操作系统命令注入漏洞。这些漏洞存在于 libNetSetObj.so 功能中，攻击者可以通过发送特制的网络请求来触发这些漏洞，从而执行任意命令。 影响范围 受影响版本：GV-I/O Box 4E (version(s): 2.09) CVSSv3 评分：9.1 - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H CWE：CWE-78 - Improper Neutralization of Special Elements used in an OS Command (OS Command Injection) 修复方案 初始厂商联系：2026-04-21 厂商披露：2026-04-21 厂商补丁发布：2026-04-29 漏洞详情 CVE-2026-12846 - CNetSetObj::m_F_n_Set_IP_Addr 命令注入 以下函数接受一个字符串作为 IP 地址，不进行任何清理并调用 。这是一个经典的命令注入漏洞。该函数可从网络暴露的 服务和 端点访问。 CVE-2026-12849 - CNetSetObj::m_F_n_Set_Net_Mask 命令注入 以下函数接受一个字符串作为子网掩码地址，不进行任何清理并调用 。这是一个经典的命令注入漏洞。该函数可从网络暴露的 服务和 端点访问。 CVE-2026-12850 - CNetSetObj::m_F_n_Set_Gate_way 命令注入 以下函数接受一个字符串作为网关地址，不进行任何清理并调用 。这是一个经典的命令注入漏洞。该函数可从网络暴露的 服务和 端点访问。 CVE-2026-12851 - CNetSetObj::m_F_n_Set_DNS_Addr 命令注入 以下函数可接受最多两个地址，不进行任何清理并调用 。这是一个经典的命令注入漏洞。该函数可从网络暴露的 服务和 端点访问。 时间线 2026-04-21 - 初始厂商联系 2026-04-21 - 厂商披露 2026-04-29 - 厂商补丁发布 致谢 Philippe Lauerher of Cisco Talos