CVE-2025-12260
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
W TOTOLINK A3300R w funkcji setSyslogCfg pliku /cgi-bin/cstecgi.cgi stwierdzono podatność na przepełnienie bufora oparte na stosie, spowodowane manipulacją argumentem enable. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atak może doprowadzić do przepełnienia bufora, co może umożliwić wykonanie dowolnego kodu lub spowodować awarię urządzenia, zagrażając bezpieczeństwu sieci.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie oprogramowania urządzenia TOTOLINK A3300R do najnowszej wersji, jeśli dostępna, oraz ograniczenie dostępu do panelu administracyjnego.
Inne podatności w TOTOLINK A3300R
Zobacz wszystkie- CVE-2023-37173Krytyczne
W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 odkryto podatność na wstrzykiwanie poleceń poprzez parametr command w funkcji setTracerouteCfg.
- CVE-2023-37172Krytyczne
W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 odkryto podatność na wstrzykiwanie poleceń poprzez parametr ip w funkcji setDiagnosisCfg.
- CVE-2023-37171Krytyczne
W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 odkryto podatność na wstrzykiwanie poleceń poprzez parametr admuser w funkcji setPasswordCfg.
- CVE-2023-37170Krytyczne
W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 zidentyfikowano podatność na zdalne wykonanie kodu (RCE) bez uwierzytelnienia, wykorzystując parametr lang w funkcji setLanguageCfg.
- CVE-2023-31729Krytyczne
W routerze TOTOLINK A3300R w wersji oprogramowania v17.0.0cu.557 wykryto podatność na wstrzykiwanie poleceń przez interfejs CGI w skrypcie /cgi-bin/cstecgi.cgi. Atakujący może zdalnie wykonać dowolne polecenia systemowe bez autoryzacji.
- CVE-2026-5679Średnie
W urządzeniu Totolink A3300R w wersji 17.0.0cu.557_B20221024 wykryto podatność na wstrzykiwanie komend systemu operacyjnego. Problem dotyczy funkcji vsetTr069Cfg w pliku /cgi-bin/cstecgi.cgi, gdzie atakujący może manipulować argumentem stun_pass. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-12259Wysokie
W TOTOLINK A3300R w funkcji setScheduleCfg pliku /cgi-bin/cstecgi.cgi stwierdzono podatność na przepełnienie bufora oparte na stosie, spowodowane manipulacją argumentem recHour. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2025-12258Wysokie
W TOTOLINK A3300R w funkcji setOpModeCfg pliku /cgi-bin/cstecgi.cg stwierdzono podatność na przepełnienie bufora oparte na stosie, spowodowane manipulacją argumentem opmode. Atak może być przeprowadzony zdalnie.
- CVE-2025-12241Wysokie
W urządzeniu TOTOLINK A3300R w wersji 17.0.0cu.557_B20221024 wykryto podatność w funkcji setLanguageCfg w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem lang prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2025-12240Wysokie
W TOTOLINK A3300R w funkcji setDmzCfg pliku /cgi-bin/cstecgi.cgi stwierdzono podatność na przepełnienie bufora, spowodowaną manipulacją argumentem ip. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in TOTOLINK A3300R 17.0.0cu.557_B20221024. The impacted element is the function setSyslogCfg of the file /cgi-bin/cstecgi.cgi of the component POST Parameter Handler. Such manipulation of the argument enable leads to stack-based buffer overflow. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS