CVE-2025-11636
ŚrednieCVSS 5.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Wykryto podatność bezpieczeństwa w Tomofun Furbo 360 do wersji FB0035_FW_036. Problem dotyczy nieznanego przetwarzania w komponencie Account Handler. Taka manipulacja prowadzi do podrabiania żądań po stronie serwera (SSRF). Atak może być wykonany zdalnie, ale charakteryzuje się wysoką złożonością i trudnością wykorzystania. Producent został poinformowany, ale nie odpowiedział.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania żądań do wewnętrznych zasobów sieciowych z poziomu serwera, co może prowadzić do ujawnienia wrażliwych danych lub dalszych ataków na infrastrukturę. Wysoka złożoność ataku zmniejsza prawdopodobieństwo wykorzystania, ale nie eliminuje ryzyka.
Rekomendacja
Zaleca się monitorowanie aktualizacji oprogramowania sprzętowego od producenta i zastosowanie poprawek, gdy tylko będą dostępne. Należy również ograniczyć dostęp do urządzenia z zewnątrz, jeśli to możliwe.
Inne podatności w Tomofun Furbo 360
Zobacz wszystkie- CVE-2025-11637Średnie
Wykryto podatność w Tomofun Furbo 360 do wersji FB0035_FW_036. Dotyczy nieznanej funkcji komponentu Audio Handler i polega na wystąpieniu warunku wyścigu (race condition). Atak można przeprowadzić zdalnie.
- CVE-2025-11635Średnie
W urządzeniu Tomofun Furbo 360 do wersji FB0035_FW_036 zidentyfikowano słabość w nieznanym kodzie komponentu File Upload. Manipulacja powoduje zużycie zasobów, a atak można przeprowadzić zdalnie. Producent został wcześnie powiadomiony, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in Tomofun Furbo 360 up to FB0035_FW_036. This issue affects some unknown processing of the component Account Handler. Such manipulation leads to server-side request forgery. The attack can be executed remotely. This attack is characterized by high complexity. The exploitability is assessed as difficult. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS