CVE-2025-11549
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 95 - wyżej niż 95% wszystkich znanych CVE
Streszczenie
W urządzeniu Tenda W12 w wersji 3.0.0.6(3948) wykryto podatność w funkcji wifiMacFilterSet w pliku /goform/modules komponentu HTTP Request Handler. Manipulacja argumentem mac prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wykorzystać przepełnienie bufora do wykonania dowolnego kodu lub spowodowania awarii urządzenia, co może zakłócić działanie sieci i naruszyć bezpieczeństwo.
Rekomendacja
Zaleca się sprawdzenie dostępności aktualizacji oprogramowania sprzętowego dla Tenda W12 i zastosowanie jej, a także ograniczenie dostępu do panelu administracyjnego.
Inne podatności w Tenda W12
Zobacz wszystkie- CVE-2026-10192Wysokie
W routerze Tenda W12 w wersji 3.0.0.7(4763), w pliku /bin/httpd funkcja set_local_time_0 zawiera przepełnienie bufora na stosie (stack-based buffer overflow) podczas manipulacji argumentem Time. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny.
- CVE-2026-10191Wysokie
W urządzeniu Tenda W12 w wersji 3.0.0.7(4763) stwierdzono podatność w funkcji cgiWifiMacFilterSet pliku /bin/httpd. Manipulacja argumentem wifiMacFilterSet.macList.mac prowadzi do przepełnienia bufora na stosie, co może być wykorzystane zdalnie. Exploit został publicznie ujawniony.
- CVE-2026-10190Średnie
Znaleziono podatność w Tenda W12 3.0.0.7(4763). Dotyczy ona funkcji cgiSysWebTimeoutSet w pliku /bin/httpd komponentu Web Management Interface. Manipulacja argumentem web_over_time prowadzi do odmowy usługi. Atak może być przeprowadzony zdalnie. Exploit został opublikowany.
- CVE-2026-10189Wysokie
W routerze Tenda W12 w wersji 3.0.0.7(4763) stwierdzono podatność na przepełnienie bufora stosu w funkcji cgiSysTimeInfoSet w pliku /bin/httpd. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem sec. Exploit został ujawniony publicznie.
- CVE-2026-10188Wysokie
W urządzeniu Tenda W12 w wersji 3.0.0.7(4763) stwierdzono podatność w funkcji cgistaKickOff pliku /bin/httpd. Manipulacja argumentem staMac prowadzi do przepełnienia bufora na stosie, co może być wykorzystane zdalnie. Exploit został publicznie ujawniony.
- CVE-2025-11550Średnie
Podatność znaleziona w Tenda W12 3.0.0.6(3948). Dotkniętym elementem jest funkcja wifiScheduledSet w pliku /goform/modules komponentu HTTP Request Handler. Manipulacja argumentem wifiScheduledSet powoduje dereferencję wskaźnika null. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in Tenda W12 3.0.0.6(3948). The affected element is the function wifiMacFilterSet of the file /goform/modules of the component HTTP Request Handler. The manipulation of the argument mac leads to stack-based buffer overflow. The attack is possible to be carried out remotely. The exploit has been disclosed to the public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS