Yealink Meeting Server before v26.0.0.66 was discovered to contain an OS command injection vulnerability via the file upload interface.

Beschreibung

Im Yealink Meeting Server vor Version 26.0.0.66 besteht eine Schwachstelle zur Einschleusung von Betriebssystembefehlen (OS Command Injection) über die Datei-Upload-Schnittstelle. Angreifer können darüber beliebige Systembefehle auf dem betroffenen Server ausführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf die bereitgestellte fehlerbereinigte Version 26.0.0.66 aktualisieren.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Yealink

• Yealink Device Management Server-Side Request Forgery (SSRF) KEV CVE-2021-27561
• CVE-2024-33109 – Tiptel IP 286: Directory Traversal über Ringtone-Upload CVE-2024-33109
• An issue was discovered in Yealink Configuration Encrypt Tool (AES version) and Yealink Configuration Encrypt Tool (RSA version before 1.2). There is a single hardcoded key (used to encrypt provisioning documents) across customers' installations. CVE-2024-24681
• Directory-Traversal im Kontakt-Upload des Yealink W60B CVE-2020-24113
• Yealink T21P_E2: Codeausführung über die Ping-Funktion der Diagnose CVE-2025-66738
• Yealink SIP-T19P-E2 – Codeausführung über Ping-Funktion der Diagnose CVE-2023-43959