CVE-2023-40837
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
W urządzeniu Tenda AC6 w funkcji 'sub_ADD50' występuje podatność na wykonanie polecenia. W funkcji 'formSetIptv' nieprzefiltrowane przekazywanie pól 'list' i 'vlanId' jako parametrów do funkcji 'sub_ADD50' umożliwia wykonanie dowolnych poleceń.
Ocena ryzyka
Podatność ta może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa sieci organizacji. Atakujący może wykorzystać tę lukę do przejęcia kontroli nad urządzeniem.
Rekomendacja
Zaleca się aktualizację oprogramowania urządzenia do najnowszej wersji, która eliminuje tę podatność. Należy również ograniczyć dostęp do funkcji, które mogą być wykorzystane do ataku.
Oryginalny opis (angielski, źródło NVD)
Tenda AC6 US_AC6V1.0BR_V15.03.05.16_multi_TD01.bin function 'sub_ADD50' contains a command execution vulnerability. In the "formSetIptv" function, obtaining the "list" and "vlanId" fields, unfiltered passing these two fields as parameters to the "sub_ADD50" function to execute commands.