CVE-2023-37149
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 74 - wyżej niż 74% wszystkich znanych CVE
Streszczenie
W urządzeniu TOTOLINK LR350 w wersji V9.3.5u.6369_B20220309 odkryto podatność na wstrzykiwanie poleceń poprzez parametr FileName w funkcji setUploadSetting.
Ocena ryzyka
Wykorzystanie tej podatności może pozwolić atakującemu na wykonanie dowolnych poleceń w systemie, co stwarza poważne zagrożenie dla bezpieczeństwa urządzenia i sieci.
Rekomendacja
Zaleca się aktualizację oprogramowania urządzenia do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie logów w celu wykrycia potencjalnych prób ataku.
Inne podatności w TOTOLINK LR350
Zobacz wszystkie- CVE-2026-1158Wysokie
W urządzeniu Totolink LR350 w wersji 9.3.5u.6369_B20220309 odkryto podatność na przepełnienie bufora w funkcji setWizardCfg pliku /cgi-bin/cstecgi.cgi. Atak polega na manipulacji argumentem ssid w żądaniu POST, co może zostać wykonane zdalnie. Exploit został opublikowany, co zwiększa ryzyko wykorzystania.
- CVE-2026-1157Wysokie
Podatność w routerze Totolink LR350 w funkcji setWiFiEasyCfg pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem ssid powoduje przepełnienie bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-1156Wysokie
Podatność w routerze Totolink LR350 w funkcji setWiFiBasicCfg pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem ssid powoduje przepełnienie bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie ujawniony.
- CVE-2026-1155Wysokie
Podatność w routerze Totolink LR350 w funkcji setWiFiEasyGuestCfg pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem ssid powoduje przepełnienie bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2023-37148Krytyczne
W urządzeniu TOTOLINK LR350 w wersji V9.3.5u.6369_B20220309 odkryto podatność na wstrzykiwanie poleceń poprzez parametr ussd w funkcji setUssd.
- CVE-2023-37146Krytyczne
W urządzeniu TOTOLINK LR350 w wersji V9.3.5u.6369_B20220309 odkryto podatność na wstrzykiwanie poleceń poprzez parametr FileName w funkcji UploadFirmwareFile.
Oryginalny opis (angielski, źródło NVD)
TOTOLINK LR350 V9.3.5u.6369_B20220309 was discovered to contain a command injection vulnerability via the FileName parameter in the setUploadSetting function.