CVE-2025-12259
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
W TOTOLINK A3300R w funkcji setScheduleCfg pliku /cgi-bin/cstecgi.cgi stwierdzono podatność na przepełnienie bufora oparte na stosie, spowodowane manipulacją argumentem recHour. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Ocena ryzyka
Zdalny atak może umożliwić wykonanie dowolnego kodu lub spowodować awarię urządzenia, co może naruszyć integralność i dostępność usług sieciowych.
Rekomendacja
Zaleca się aktualizację oprogramowania urządzenia oraz ograniczenie dostępu do panelu administracyjnego tylko dla zaufanych sieci.
Inne podatności w TOTOLINK A3300R
Zobacz wszystkie- CVE-2023-37173Krytyczne
W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 odkryto podatność na wstrzykiwanie poleceń poprzez parametr command w funkcji setTracerouteCfg.
- CVE-2023-37172Krytyczne
W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 odkryto podatność na wstrzykiwanie poleceń poprzez parametr ip w funkcji setDiagnosisCfg.
- CVE-2023-37171Krytyczne
W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 odkryto podatność na wstrzykiwanie poleceń poprzez parametr admuser w funkcji setPasswordCfg.
- CVE-2023-37170Krytyczne
W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 zidentyfikowano podatność na zdalne wykonanie kodu (RCE) bez uwierzytelnienia, wykorzystując parametr lang w funkcji setLanguageCfg.
- CVE-2023-31729Krytyczne
W routerze TOTOLINK A3300R w wersji oprogramowania v17.0.0cu.557 wykryto podatność na wstrzykiwanie poleceń przez interfejs CGI w skrypcie /cgi-bin/cstecgi.cgi. Atakujący może zdalnie wykonać dowolne polecenia systemowe bez autoryzacji.
- CVE-2026-5679Średnie
W urządzeniu Totolink A3300R w wersji 17.0.0cu.557_B20221024 wykryto podatność na wstrzykiwanie komend systemu operacyjnego. Problem dotyczy funkcji vsetTr069Cfg w pliku /cgi-bin/cstecgi.cgi, gdzie atakujący może manipulować argumentem stun_pass. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-12260Wysokie
W TOTOLINK A3300R w funkcji setSyslogCfg pliku /cgi-bin/cstecgi.cgi stwierdzono podatność na przepełnienie bufora oparte na stosie, spowodowane manipulacją argumentem enable. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-12258Wysokie
W TOTOLINK A3300R w funkcji setOpModeCfg pliku /cgi-bin/cstecgi.cg stwierdzono podatność na przepełnienie bufora oparte na stosie, spowodowane manipulacją argumentem opmode. Atak może być przeprowadzony zdalnie.
- CVE-2025-12241Wysokie
W urządzeniu TOTOLINK A3300R w wersji 17.0.0cu.557_B20221024 wykryto podatność w funkcji setLanguageCfg w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem lang prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2025-12240Wysokie
W TOTOLINK A3300R w funkcji setDmzCfg pliku /cgi-bin/cstecgi.cgi stwierdzono podatność na przepełnienie bufora, spowodowaną manipulacją argumentem ip. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in TOTOLINK A3300R 17.0.0cu.557_B20221024. The affected element is the function setScheduleCfg of the file /cgi-bin/cstecgi.cgi of the component POST Parameter Handler. This manipulation of the argument recHour causes stack-based buffer overflow. It is possible to initiate the attack remotely. The exploit has been published and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS