CVE Vulnerability Catalog

W urządzeniach TP-Link Archer BE230 v1.2 i Deco BE25 v1.0 występuje podatność na wstrzykiwanie poleceń, która może być wykorzystana po uwierzytelnieniu administratora poprzez import spreparowanego pliku konfiguracyjnego klienta VPN. Sukces w wykorzystaniu tej podatności może umożliwić atakującemu uzyskanie pełnej kontroli administracyjnej nad urządzeniem.

W urządzeniu TP-Link Archer BE230 v1.2 występuje podatność na wstrzykiwanie poleceń, która może być wykorzystana po uwierzytelnieniu administratora za pomocą funkcji przywracania kopii zapasowej konfiguracji. Sukces w wykorzystaniu tej podatności może umożliwić atakującemu uzyskanie pełnej kontroli administracyjnej nad urządzeniem.

W module konfiguracji serwera VPN na urządzeniach TP-Link Archer BE230 v1.2 i Archer AX73 v2 występuje podatność na wstrzykiwanie poleceń, która może być wykorzystana po uwierzytelnieniu administratora. Sukcesywne wykorzystanie tej podatności może umożliwić atakującemu uzyskanie pełnej kontroli administracyjnej nad urządzeniem.

W usłudze połączenia VPN na urządzeniach Archer BE230 v1.2 i Archer AXE75 v1.0 występuje podatność na wstrzykiwanie poleceń, która może być wykorzystana po uwierzytelnieniu administratora. Sukces w wykorzystaniu tej podatności może umożliwić atakującemu uzyskanie pełnej kontroli administracyjnej nad urządzeniem.

W urządzeniu TP-Link Archer BE230 v1.2 występuje podatność na wstrzykiwanie poleceń, która może być wykorzystana po uwierzytelnieniu administratora w interfejsie komunikacji w chmurze. Skuteczne wykorzystanie tej luki może umożliwić atakującemu uzyskanie pełnej kontroli administracyjnej nad urządzeniem.

TP-Link Archer BE230 v1.2 and BE3600 v1 (VPN modules) have an OS command injection vulnerability that allows an adjacent authenticated attacker to execute arbitrary code. Successful exploitation could give full administrative control of the device.

An OS Command Injection vulnerability in TP-Link Archer BE230 v1.2 and Archer AXE75 v2 (web modules) allows an adjacent authenticated attacker to execute arbitrary code. Successful exploitation could allow an attacker to gain full administrative control of the device, resulting in severe compromise of configuration integrity, network security, and service availability.

An OS Command Injection vulnerability in TP-Link Archer BE230 v1.2 (VPN modules) and BE3600 v1 allows an adjacent authenticated attacker to execute arbitrary code. Successful exploitation could allow full administrative control of the device, leading to severe compromise of configuration integrity, network security, and service availability. The issue affects Archer BE230 v1.2 < 1.2.4 Build 20251218 rel.70420.

An OS Command Injection vulnerability exists in the Surfshark VPN login functionality in TP-Link Archer BE230 v1.2, BE3600v1 and AXE75 v1. An adjacent authenticated attacker can execute arbitrary code, potentially gaining full administrative control of the device.

Podatność typu OS Command Injection w urządzeniach TP-Link Archer BE230 v1.2 i Archer AXE75 v1.0 pozwala na wykonanie dowolnego kodu przez sąsiedniego, uwierzytelnionego atakującego. Sukces w wykorzystaniu tej luki może prowadzić do pełnej kontroli administracyjnej nad urządzeniem, co poważnie zagraża integralności konfiguracji, bezpieczeństwu sieci oraz dostępności usług.

Podatność CVE-2025-47399 dotyczy uszkodzenia pamięci podczas przetwarzania wywołania IOCTL, które aktualizuje ustawienia właściwości czujnika z nieprawidłowymi parametrami wejściowymi. Może to prowadzić do nieprzewidzianego zachowania systemu.

Podatność CVE-2025-47398 dotyczy uszkodzenia pamięci podczas zwalniania buforów pamięci procesora graficznego z powodu niewłaściwego zarządzania wskaźnikami pamięci. Może to prowadzić do nieprzewidzianych zachowań aplikacji lub systemu.

Podatność CVE-2025-47397 dotyczy uszkodzenia pamięci podczas inicjowania mapowania pamięci GPU przy użyciu list scatter-gather, spowodowanego niekontrolowanymi błędami mapowania IOMMU.

Problem kryptograficzny występuje, gdy Zaufana Strefa z przestarzałym kodem jest aktywowana przez HLOS dostarczający nieprawidłowe dane wejściowe.

Podatność CVE-2025-47359 dotyczy uszkodzenia pamięci, które występuje, gdy wiele wątków jednocześnie uzyskuje dostęp do interfejsu API zwalniania pamięci. Może to prowadzić do nieprzewidywalnego zachowania aplikacji.

Podatność CVE-2025-47358 dotyczy uszkodzenia pamięci, które występuje, gdy adres przestrzeni użytkownika jest modyfikowany i przekazywany do API mem_free, co prowadzi do niezamierzonego zwolnienia pamięci jądra.

IBM WebSphere Application Server Liberty w wersjach od 17.0.0.3 do 26.0.0.1 może umożliwić uprzywilejowanemu użytkownikowi przesłanie archiwum zip zawierającego sekwencje przejścia ścieżki, co prowadzi do nadpisania plików i potencjalnego wykonania dowolnego kodu.

Podatność CVE-2022-50981 pozwala nieautoryzowanemu zdalnemu atakującemu na uzyskanie pełnego dostępu do dotkniętych urządzeń, które są dostarczane bez domyślnego hasła, a jego ustawienie nie jest wymuszane.

Podatność CVE-2022-50978 pozwala nieautoryzowanemu zdalnemu atakującemu na zakłócenie operacji poprzez przełączanie się między różnymi presetami konfiguracji za pomocą Modbus (TCP).

Podatność CVE-2022-50977 pozwala nieautoryzowanemu zdalnemu atakującemu na zakłócenie operacji poprzez przełączanie się między różnymi presetami konfiguracji za pomocą protokołu HTTP.