CVE-2024-52714
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W routerze Tenda AC6 v2.0 z oprogramowaniem v15.03.06.50 wykryto podatność na przepełnienie bufora w funkcji 'fromSetSysTime'. Atakujący może wykorzystać tę lukę do zdalnego wykonania kodu lub spowodowania awarii urządzenia.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego przejęcia kontroli nad routerem przez nieuwierzytelnionego atakującego, co może prowadzić do naruszenia bezpieczeństwa sieci lokalnej.
Rekomendacja
Zaleca się natychmiastową aktualizację oprogramowania routera Tenda AC6 do najnowszej wersji, jeśli producent udostępnił łatkę. W przypadku braku aktualizacji należy ograniczyć dostęp do interfejsu zarządzania z zewnątrz.
Inne podatności w Tenda AC6
Zobacz wszystkie- CVE-2026-8265Średnie
W urządzeniu Tenda AC6 w wersji 15.03.06.23 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem dotyczy funkcji get_log_file w pliku /goform/getLogFile w komponencie httpd, gdzie atakujący może manipulować argumentem wans.flag. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-8263Średnie
W urządzeniu Tenda AC6 w wersji 15.03.06.49_multi_TDE01 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem dotyczy funkcji fromSetWirelessRepeat w pliku /goform/WifiExtraSet w komponencie httpd, gdzie atakujący może manipulować argumentami mac lub ssid. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-8259Średnie
W urządzeniu Tenda AC6 w wersji 2.0/15.03.06.23 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem dotyczy nieznanej funkcji w pliku /goform/telnet w komponencie httpd, gdzie atakujący może manipulować argumentem lan.ip. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2023-40839Krytyczne
W urządzeniu Tenda AC6 w funkcji 'sub_ADF3C' występuje podatność na wykonanie polecenia. W funkcji 'formSetIptv' parametry 'list' i 'vlanId' są przekazywane bez filtracji, co umożliwia wykonanie dowolnych poleceń.
- CVE-2023-40837Krytyczne
W urządzeniu Tenda AC6 w funkcji 'sub_ADD50' występuje podatność na wykonanie polecenia. W funkcji 'formSetIptv' nieprzefiltrowane przekazywanie pól 'list' i 'vlanId' jako parametrów do funkcji 'sub_ADD50' umożliwia wykonanie dowolnych poleceń.
- CVE-2022-37176Krytyczne
Podatność w oprogramowaniu sprzętowym routera Tenda AC6 (AC1200) w wersji 5.0 i starszych umożliwia atakującym usunięcie hasła Wi-Fi i wymuszenie otwartego trybu zabezpieczeń poprzez wysłanie spreparowanego pakietu do formularza goform/setWizard.
- CVE-2026-8264Średnie
W routerze Tenda AC6 w wersji 15.03.06.23 wykryto podatność na wstrzykiwanie komend systemowych w funkcji formWifiApScan pliku /goform/WifiApScan. Manipulacja argumentami wl2g.public.country lub wl5g.public.country umożliwia zdalne wykonanie poleceń. Exploit jest publicznie dostępny.
- CVE-2025-46035Wysokie
W routerze Tenda AC6 w wersji oprogramowania 15.03.05.16 wykryto podatność na przepełnienie bufora. Zdalny, nieuwierzytelniony atakujący może spowodować odmowę usługi (DoS) poprzez wysłanie żądania HTTP GET z nadmiernie długimi parametrami schedStartTime i schedEndTime do punktu końcowego /goform/openSchedWifi.
- CVE-2022-36552Wysokie
W oprogramowaniu sprzętowym Tenda AC6 (AC1200) w wersji 5.0 i niższej (v02.03.01.114) wykryto podatność w komponencie /cgi-bin/DownloadFlash. Umożliwia ona atakującemu kradzież wszystkich danych, w tym kodu źródłowego i plików systemowych, poprzez spreparowane żądanie GET.
Oryginalny opis (angielski, źródło NVD)
Tenda AC6 v2.0 v15.03.06.50 was discovered to contain a buffer overflow in the function 'fromSetSysTime.