CVE-2024-52723
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 58 - wyżej niż 58% wszystkich znanych CVE
Streszczenie
W routerze TOTOLINK X6000R w wersji oprogramowania V9.4.0cu.1041_B20240224, w pliku shttpd, funkcja Uci_Set_Str jest używana bez odpowiedniego filtrowania parametrów. Atakujący może wykorzystać tę podatność do wykonania dowolnych poleceń poprzez spreparowanie odpowiedniego ładunku.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego przejęcia kontroli nad urządzeniem przez nieuwierzytelnionego atakującego, co może prowadzić do naruszenia poufności i integralności danych w sieci lokalnej.
Rekomendacja
Zaleca się natychmiastową aktualizację oprogramowania routera TOTOLINK X6000R do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, należy ograniczyć dostęp do interfejsu zarządzania tylko do zaufanych sieci.
Inne podatności w TOTOLINK X6000R
Zobacz wszystkie- CVE-2026-105484Krytyczne
Wykryto podatność w routerze TOTOLINK X6000R w wersji 9.4.0cu.652_B20230116. Problem dotyczy funkcji firmware_check w pliku /cgi-bin/cstecgi.cgi w komponencie UploadFirmwareFile Handler. Manipulacja argumentem file_name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie.
- CVE-2026-1723Krytyczne
Podatność na wstrzykiwanie poleceń systemu operacyjnego w TOTOLINK X6000R. Problem dotyczy wersji do V9.4.0cu.1498_B20250826. Atakujący może wykorzystać tę podatność do wykonania dowolnych poleceń systemowych.
- CVE-2025-11005Krytyczne
Podatność na wstrzykiwanie poleceń systemu operacyjnego w TOTOLINK X6000R pozwala atakującemu na wykonanie dowolnych poleceń. Problem dotyczy wersji do V9.4.0cu.1458_B20250708.
- CVE-2025-52905Wysokie
Podatność na nieprawidłową walidację danych wejściowych w TOTOLINK X6000R pozwala na przeprowadzenie ataku typu Flooding. Problem dotyczy wersji do V9.4.0cu.1360_B20241207.
- CVE-2023-50651Krytyczne
W routerze TOTOLINK X6000R w wersji oprogramowania v9.4.0cu.852_B20230719 wykryto podatność na zdalne wykonanie kodu (RCE) w komponencie /cgi-bin/cstecgi.cgi. Atakujący może wysłać specjalnie spreparowane żądanie, aby wykonać dowolne polecenia na urządzeniu.
Oryginalny opis (angielski, źródło NVD)
In TOTOLINK X6000R V9.4.0cu.1041_B20240224 in the shttpd file, the Uci_Set Str function is used without strict parameter filtering. An attacker can achieve arbitrary command execution by constructing the payload.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS