CVE-2025-11323
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
W urządzeniu UTT 1250GW (do wersji v2v3.2.2-200710) wykryto podatność przepełnienia bufora w funkcji strcpy pliku /goform/formUserStatusRemark. Manipulacja argumentem Username prowadzi do przepełnienia bufora. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent został powiadomiony, ale nie odpowiedział.
Ocena ryzyka
Zdalny atakujący może wykorzystać tę podatność do wykonania dowolnego kodu lub zablokowania urządzenia, co może prowadzić do przejęcia kontroli nad routerem. Brak reakcji producenta oznacza, że poprawka może nie być dostępna.
Rekomendacja
Ogranicz dostęp do interfejsu administracyjnego urządzenia wyłącznie do zaufanych sieci i rozważ jego wymianę, ponieważ producent nie dostarczył poprawek. Monitoruj urządzenie pod kątem nietypowych zachowań.
Inne podatności w UTT 1250GW
Zobacz wszystkie- CVE-2026-0841Wysokie
Wykryto podatność w urządzeniu UTT 进取 520W w wersji 1.7.7-180627. Problem dotyczy funkcji strcpy w pliku /goform/formPictureUrl, gdzie manipulacja argumentem importpictureurl prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-0840Wysokie
Wykryto podatność w urządzeniu UTT 进取 520W w wersji 1.7.7-180627. Problem dotyczy funkcji strcpy w pliku /goform/formConfigNoticeConfig, gdzie argument timestart może spowodować przepełnienie bufora. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-0839Wysokie
W produkcie UTT 进取 520W w wersji 1.7.7-180627 wykryto podatność związaną z funkcją strcpy w pliku /goform/APSecurity. Manipulacja argumentem wepkey1 może prowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a publicznie dostępny exploit zwiększa ryzyko wykorzystania.
- CVE-2026-0838Wysokie
W urządzeniu UTT 进取 520W w wersji 1.7.7-180627 odkryto podatność związaną z funkcją strcpy w pliku /goform/ConfigWirelessBase. Manipulacja argumentem ssid prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a publicznie dostępny exploit zwiększa ryzyko wykorzystania.
- CVE-2026-0837Wysokie
W produkcie UTT 进取 520W w wersji 1.7.7-180627 wykryto podatność w funkcji strcpy w pliku /goform/formFireWall. Manipulacja argumentem GroupName prowadzi do przepełnienia bufora. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-0836Wysokie
W urządzeniu UTT 进取 520W w wersji 1.7.7-180627 wykryto podatność polegającą na przepełnieniu bufora w funkcji strcpy w pliku /goform/formConfigFastDirectionW. Manipulacja argumentem ssid powoduje przepełnienie bufora, co może zostać wykorzystane zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2025-14535Krytyczne
W UTT 进取 512W do wersji 3.1.7.7-171114 zidentyfikowano podatność w funkcji strcpy w pliku /goform/formConfigFastDirectionW. Manipulacja argumentem ssid prowadzi do przepełnienia bufora. Atak może być inicjowany zdalnie. Exploit jest publicznie dostępny i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2025-14534Krytyczne
W urządzeniu UTT 进取 512W do wersji 3.1.7.7-171114 wykryto podatność w funkcji strcpy w pliku /goform/formNatStaticMap komponentu Endpoint. Manipulacja argumentem NatBind może prowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-15462Wysokie
Urządzenie UTT 进取 520W w wersji 1.7.7-180627 zawiera podatność na przepełnienie bufora w funkcji strcpy w pliku /goform/ConfigAdvideo. Manipulacja argumentem timestart prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2025-15461Wysokie
Urządzenie UTT 进取 520W w wersji 1.7.7-180627 zawiera podatność na przepełnienie bufora w funkcji strcpy w pliku /goform/formTaskEdit. Manipulacja argumentem selDateType prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in UTT 1250GW up to v2v3.2.2-200710. Affected is the function strcpy of the file /goform/formUserStatusRemark. This manipulation of the argument Username causes buffer overflow. Remote exploitation of the attack is possible. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS