CVE-2025-14093
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 97 - wyżej niż 97% wszystkich znanych CVE
Streszczenie
W Edimax BR-6478AC V3 1.0.15 wykryto podatność w funkcji sub_416990 w pliku /boafrm/formTracerouteDiagnosticRun. Manipulacja argumentem host prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny i może być użyty. Producent został wcześnie powiadomiony, ale nie odpowiedział.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia systemowe na urządzeniu, co prowadzi do pełnego przejęcia kontroli nad routerem i siecią.
Rekomendacja
Ze względu na brak odpowiedzi producenta, rozważ wycofanie urządzenia z użycia lub zastosowanie środków kompensacyjnych, takich jak ograniczenie dostępu do interfejsu administracyjnego i monitorowanie nietypowych poleceń.
Inne podatności w Edimax BR-6478AC V3
Zobacz wszystkie- CVE-2025-14094Średnie
W Edimax BR-6478AC V3 1.0.15 wykryto lukę w funkcji sub_44CCE4 w pliku /boafrm/formSysCmd. Manipulacja argumentem sysCmd prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być zainicjowany zdalnie, a exploit został opublikowany i może być użyty. Producent został wcześnie powiadomiony, ale nie odpowiedział.
- CVE-2025-14092Średnie
W Edimax BR-6478AC V3 1.0.15 wykryto lukę bezpieczeństwa w funkcji sub_416898 w pliku /boafrm/formDebugDiagnosticRun. Manipulacja argumentem host prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony i może być użyty. Producent został wcześnie powiadomiony, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in Edimax BR-6478AC V3 1.0.15. Impacted is the function sub_416990 of the file /boafrm/formTracerouteDiagnosticRun. The manipulation of the argument host results in os command injection. The attack can be launched remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS