CVE-2025-14654
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 88 - wyżej niż 88% wszystkich znanych CVE
Streszczenie
Podatność zidentyfikowana w Tenda AC20 16.03.08.12. Dotyczy funkcji formSetPPTPUserList w pliku /goform/setPptpUserList komponentu httpd. Manipulacja argumentem list prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty.
Ocena ryzyka
Ryzyko dla organizacji to zdalne przepełnienie bufora, co może prowadzić do wykonania dowolnego kodu lub awarii urządzenia. Publiczny exploit zwiększa ryzyko wykorzystania podatności.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie urządzenia do nowszej wersji, jeśli dostępna, lub ograniczenie dostępu do panelu administracyjnego. Należy monitorować informacje od producenta.
Inne podatności w Tenda AC20
Zobacz wszystkie- CVE-2025-11385Wysokie
W urządzeniu Tenda AC20 do wersji 16.03.08.12 występuje podatność przepełnienia bufora w funkcji sscanf w pliku /goform/fast_setting_wifi_set. Manipulacja argumentem timeZone umożliwia zdalny atak, a exploit został publicznie ujawniony.
- CVE-2025-9791Wysokie
W urządzeniu Tenda AC20 16.03.08.05 wykryto słabość w nieznanym kodzie pliku /goform/fromAdvSetMacMtuWan. Manipulacja argumentem wanMTU powoduje przepełnienie bufora na stosie. Zdalne wykorzystanie jest możliwe, a exploit został publicznie udostępniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in Tenda AC20 16.03.08.12. The affected element is the function formSetPPTPUserList of the file /goform/setPptpUserList of the component httpd. Such manipulation of the argument list leads to stack-based buffer overflow. The attack can be executed remotely. The exploit is publicly available and might be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS