Inyección de Comandos en las Funciones de Control de Gestión de Routers Welotec TK (CVE-2026-105978)

Los routers industriales y de telemática de Welotec (series TK) contienen una vulnerabilidad de tipo Inyección de Comandos en el Sistema Operativo (Improper Neutralization of Special Elements used in an OS Command o CWE-78), originada por una validación de entrada insuficiente en las funciones web de control de gestión.

Vector de Ataque:

Origen / Complejidad: red (remoto, AV:N) | complejidad de ataque Baja (AC:L).

Requisitos: requiere autenticación con privilegios altos (PR:H) por parte del atacante. No requiere interacción del usuario (UI:N).

Mecanismo: un atacante remoto con privilegios administrativos puede enviar peticiones manipuladas que explotan la falta de filtrado en las entradas de las funciones de gestión del sistema, logrando inyectar comandos arbitrarios del sistema operativo.

Impacto Estimado:

Confidencialidad: alta — acceso total a la información y ficheros del sistema operativo subyacente.

Integridad: alta — capacidad de modificar configuraciones, archivos o binarios del dispositivo.

Disponibilidad: alta — riesgo de comprometer por completo la estabilidad o interrumpir los servicios del router industrial.

Solución: actualizar Welotec TK100 a la versión 3.5.116 o superior; actualizar Welotec TK500-v2 a la versión 1.0.124 o superior; actualizar Welotec TK500-v3 a la versión 1.0.123 o superior.

Medidas de Mitigación / Contención Temporal: restringir estrictamente el acceso a la interfaz web de gestión de los routers, permitiéndolo únicamente a través de redes de administración seguras o VPNs internas de confianza; auditar los registros de acceso e intentos de inicio de sesión de usuarios con privilegios elevados en los dispositivos.

https://nvd.nist.gov/vuln/detail/cve-2026-105978