CVE-2025-14094
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 97 - wyżej niż 97% wszystkich znanych CVE
Streszczenie
W Edimax BR-6478AC V3 1.0.15 wykryto lukę w funkcji sub_44CCE4 w pliku /boafrm/formSysCmd. Manipulacja argumentem sysCmd prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być zainicjowany zdalnie, a exploit został opublikowany i może być użyty. Producent został wcześnie powiadomiony, ale nie odpowiedział.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia systemowe na urządzeniu, co prowadzi do pełnego przejęcia kontroli nad routerem i siecią.
Rekomendacja
Ze względu na brak odpowiedzi producenta, rozważ wycofanie urządzenia z użycia lub zastosowanie środków kompensacyjnych, takich jak ograniczenie dostępu do interfejsu administracyjnego i monitorowanie nietypowych poleceń.
Inne podatności w Edimax BR-6478AC V3
Zobacz wszystkie- CVE-2025-14093Średnie
W Edimax BR-6478AC V3 1.0.15 wykryto podatność w funkcji sub_416990 w pliku /boafrm/formTracerouteDiagnosticRun. Manipulacja argumentem host prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny i może być użyty. Producent został wcześnie powiadomiony, ale nie odpowiedział.
- CVE-2025-14092Średnie
W Edimax BR-6478AC V3 1.0.15 wykryto lukę bezpieczeństwa w funkcji sub_416898 w pliku /boafrm/formDebugDiagnosticRun. Manipulacja argumentem host prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony i może być użyty. Producent został wcześnie powiadomiony, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in Edimax BR-6478AC V3 1.0.15. The affected element is the function sub_44CCE4 of the file /boafrm/formSysCmd. This manipulation of the argument sysCmd causes os command injection. The attack may be initiated remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS