CVE-2025-22905
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
W urządzeniu RE11S w wersji 1.11 wykryto podatność na wstrzykiwanie poleceń przez parametr command w ścieżce /goform/mp. Atakujący może zdalnie wykonać dowolne polecenia systemowe.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia pełnej kontroli nad urządzeniem przez nieautoryzowanego atakującego, co może prowadzić do naruszenia poufności i integralności sieci.
Rekomendacja
Zaleca się natychmiastową aktualizację oprogramowania sprzętowego do najnowszej wersji oraz ograniczenie dostępu do interfejsu zarządzania tylko dla zaufanych adresów IP.
Inne podatności w RE11S
Zobacz wszystkie- CVE-2025-22916Krytyczne
W urządzeniu RE11S w wersji 1.11 odkryto podatność na przepełnienie stosu przez parametr pppUserName w funkcji formPPPoESetup.
- CVE-2025-22912Krytyczne
W urządzeniu RE11S w wersji oprogramowania v1.11 odkryto podatność na wstrzykiwanie poleceń w komponencie /goform/formAccept. Atakujący może zdalnie wykonać dowolne polecenia systemowe.
- CVE-2025-22907Krytyczne
W urządzeniu RE11S w wersji 1.11 odkryto podatność na przepełnienie stosu w funkcji formWlSiteSurvey poprzez parametr selSSID.
- CVE-2025-22906Krytyczne
W urządzeniu RE11S w wersji 1.11 wykryto podatność na wstrzykiwanie poleceń przez parametr L2TPUserName w skrypcie /goform/setWAN. Atakujący może zdalnie wykonać dowolne polecenia systemowe.
- CVE-2025-22904Krytyczne
W urządzeniu RE11S w wersji 1.11 odkryto przepełnienie stosu w funkcji setWAN przez parametr pptpUserName. Podatność ta może pozwolić atakującemu na zdalne wykonanie kodu lub spowodowanie awarii systemu.
Oryginalny opis (angielski, źródło NVD)
RE11S v1.11 was discovered to contain a command injection vulnerability via the command parameter at /goform/mp.