CVE-2025-12618
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 93 - wyżej niż 93% wszystkich znanych CVE
Streszczenie
W Tenda AC8 16.03.34.06 występuje luka w nieznanej funkcji pliku /goform/DatabaseIniSet. Manipulacja argumentem Time prowadzi do przepełnienia bufora, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Zdalny atakujący może wykorzystać przepełnienie bufora do wykonania dowolnego kodu lub spowodowania odmowy usługi. Publiczna dostępność exploitu zwiększa ryzyko.
Rekomendacja
Zaktualizuj firmware Tenda AC8 do najnowszej wersji, jeśli dostępna. W przeciwnym razie ogranicz dostęp do interfejsu zarządzania i monitoruj ruch sieciowy.
Inne podatności w Tenda AC8
Zobacz wszystkie- CVE-2023-4744Krytyczne
W Tenda AC8 w wersji 16.03.34.06_cn_TDC01 odkryto krytyczną podatność w funkcji formSetDeviceName, która prowadzi do przepełnienia bufora na stosie. Atakujący może zdalnie wykorzystać tę podatność.
- CVE-2023-40894Krytyczne
W urządzeniu Tenda AC8 v4 odkryto podatność na przepełnienie stosu, która występuje w wyniku nieprawidłowego przetwarzania listy parametrów w punkcie końcowym /goform/SetStaticRouteCfg.
- CVE-2025-61498Wysokie
Podatność przepełnienia bufora w usłudze UPnP routera Tenda AC8 (wersja sprzętowa v03.03.10.01) umożliwia atakującemu spowodowanie odmowy usługi (DoS) poprzez wysłanie spreparowanego pakietu.
- CVE-2025-11120Wysokie
W urządzeniu Tenda AC8 w wersji 16.03.34.06 wykryto podatność w funkcji formSetServerConfig w pliku /goform/SetServerConfig. Manipulacja danymi wejściowymi może prowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.
- CVE-2025-52054Średnie
W routerze Tenda AC8 v4.0 (AC1200 Dual-band Gigabit Wireless Router, firmware 16.03.33.05) hasło roota jest obliczane na podstawie statycznego ciągu znaków i dwóch ostatnich oktetów adresu MAC urządzenia. Umożliwia to nieuwierzytelnionemu atakującemu zalogowanie się do usług sieciowych urządzenia.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in Tenda AC8 16.03.34.06. This impacts an unknown function of the file /goform/DatabaseIniSet. The manipulation of the argument Time leads to buffer overflow. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS