CVE-2025-30241
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W niektórych urządzeniach TP-Link Aginet komponenty interfejsu webowego nie walidują i nie sanityzują poprawnie danych wprowadzanych przez użytkownika przed przekazaniem ich do funkcji wykonywania poleceń na poziomie systemu. Uwierzytelniony atakujący z sąsiedztwa może wstrzyknąć specjalnie spreparowane dane, aby wykonać dowolne polecenia systemu operacyjnego z podwyższonymi uprawnieniami. Udane wykorzystanie może pozwolić na wykonanie dowolnych poleceń systemowych, potencjalnie prowadząc do pełnego przejęcia urządzenia.
Ocena ryzyka
Ryzyko pełnego przejęcia urządzenia przez uwierzytelnionego atakującego z sieci lokalnej, co może prowadzić do naruszenia integralności i poufności danych oraz zakłócenia działania urządzenia.
Rekomendacja
Zastosuj aktualizacje oprogramowania układowego dostarczone przez producenta, które naprawiają walidację danych wejściowych. Ogranicz dostęp do interfejsu zarządzania tylko do zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
Certain web interface components in affected TP-Link Aginet devices do not validate and sanitize user-supplied input properly before passing it to system-level command execution functions. An authenticated adjacent attacker may inject specially crafted input to execute arbitrary operation system commands with elevated privileges. Successful exploitation may allow execution of arbitrary system commands, potentially leading to full device compromise.