CVE-2021-46006
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 92 - wyżej niż 92% wszystkich znanych CVE
Streszczenie
W routerze Totolink A3100R w wersji oprogramowania V5.9c.4577 odkryto brak uwierzytelnienia w funkcji API w pliku test.asp. Umożliwia to atakującemu zdalną modyfikację wielu ustawień urządzenia bez podawania jakichkolwiek danych logowania.
Ocena ryzyka
Ryzyko polega na możliwości całkowitego przejęcia kontroli nad routerem przez nieuwierzytelnionego atakującego, co może prowadzić do zmiany konfiguracji sieci, przekierowania ruchu lub kradzieży danych.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie routera do najnowszej dostępnej wersji lub, jeśli producent nie wydał łatki, rozważyć wymianę urządzenia na model z aktywnym wsparciem producenta.
Oryginalny opis (angielski, źródło NVD)
In Totolink A3100R V5.9c.4577, "test.asp" contains an API-like function, which is not authenticated. Using this function, an attacker can configure multiple settings without authentication.