CVE-2021-46009
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 96 - wyżej niż 96% wszystkich znanych CVE
Streszczenie
W routerze Totolink A3100R w wersji oprogramowania V5.9c.4577 odkryto podatność umożliwiającą odczyt wielu stron bez uwierzytelniania. Dodatkowo, konfiguracje administratora mogą być ustawiane bez wymagania ciasteczek sesyjnych.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych konfiguracyjnych urządzenia oraz modyfikować ustawienia administratora, co może prowadzić do przejęcia kontroli nad routerem.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie routera do najnowszej dostępnej wersji. Jeśli aktualizacja nie jest dostępna, ogranicz dostęp do interfejsu zarządzania tylko do zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
In Totolink A3100R V5.9c.4577, multiple pages can be read by curl or Burp Suite without authentication. Additionally, admin configurations can be set without cookies.