CVE-2025-13446
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
W Tenda AC21 16.03.08.16 występuje luka w nieznanym kodzie pliku /goform/SetSysTimeCfg. Manipulacja argumentami timeZone/time prowadzi do przepełnienia bufora na stosie, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Zdalny atakujący może wykorzystać przepełnienie bufora do wykonania dowolnego kodu lub spowodowania odmowy usługi. Publiczna dostępność exploitu zwiększa ryzyko.
Rekomendacja
Zaktualizuj firmware Tenda AC21 do najnowszej wersji, jeśli dostępna. W przeciwnym razie ogranicz dostęp do interfejsu zarządzania i monitoruj ruch sieciowy.
Inne podatności w Tenda AC21
Zobacz wszystkie- CVE-2025-12611Wysokie
W urządzeniu Tenda AC21 w wersji 16.03.08.16 zidentyfikowano podatność w funkcji formSetPPTPServer pliku /goform/SetPptpServerCfg. Manipulacja argumentem startIp prowadzi do przepełnienia bufora, a zdalne wykorzystanie ataku jest możliwe.
- CVE-2025-11091Wysokie
W urządzeniu Tenda AC21 (do wersji 16.03.08.16) wykryto podatność przepełnienia bufora w funkcji sscanf pliku /goform/SetStaticRouteCfg. Manipulacja argumentem list prowadzi do przepełnienia bufora. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-10838Wysokie
W Tenda AC21 w wersji 16.03.08.16 zidentyfikowano podatność. Dotkniętym elementem jest funkcja sub_45BB10 w pliku /goform/WifiExtraSet. Manipulacja argumentem wpapsk_crypto prowadzi do przepełnienia bufora. Atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in Tenda AC21 16.03.08.16. This vulnerability affects unknown code of the file /goform/SetSysTimeCfg. The manipulation of the argument timeZone/time leads to stack-based buffer overflow. The attack is possible to be carried out remotely. The exploit has been disclosed to the public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS