thingino-firmwareのfirmware-2026-03-16リリースまでのバージョンには、WiFiキャプティブポータルのCGIスクリプトに認証なしのOSコマンドインジェクションの脆弱性が存在します。この脆弱性により、リモートの攻撃者は未検証のHTTPパラメータ名を介して悪意のあるコードを注入し、root権限で任意のコマンドを実行できます。攻撃者はparse_query()およびparse_post()関数内のeval関数を悪用してリモートコード実行を達成し、rootパスワードのリセットやSSHのauthorized_keys変更を含む特権設定を変更します。その結果、完全かつ持続的にデバイスを制御します。

ベンダ情報を参照して適切な対策を実施してください。