CVE-2025-34319
KrytyczneStreszczenie
Router TOTOLINK N300RT z oprogramowaniem przed wersją V3.4.0-B20250430 zawiera podatność na wstrzykiwanie komend systemu operacyjnego w funkcji Boa formWsc. Nieuwierzytelniony atakujący może wysłać specjalnie spreparowane żądania, aby wykonać komendy przez parametr targetAPSsid.
Ocena ryzyka
Nieuwierzytelniony atakujący może przejąć kontrolę nad routerem, co może prowadzić do przechwycenia ruchu sieciowego lub dalszych ataków w sieci lokalnej.
Rekomendacja
Zaktualizuj oprogramowanie routera do wersji V3.4.0-B20250430 lub nowszej. Ogranicz dostęp do panelu administracyjnego.
Inne podatności w TOTOLINK N300RT
Zobacz wszystkie- CVE-2026-7219Wysokie
W routerze Totolink N300RT w wersji 3.4.0-B20250430 stwierdzono podatność na przepełnienie bufora w nieznanej funkcji pliku /boafrm/formIpQoS. Manipulacja argumentem entry_name może prowadzić do przepełnienia bufora, a atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-7218Wysokie
W routerze Totolink N300RT w wersji 3.4.0-B20250430 wykryto podatność na przepełnienie bufora w funkcji is_cmd_string_valid w pliku /boafrm/formWsc komponentu libapmib.so. Manipulacja argumentem localPin powoduje przepełnienie bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
TOTOLINK N300RT wireless router firmware versions prior to V3.4.0-B20250430 (discovered in V2.1.8-B20201030.1539) contain an OS command injection vulnerability in the Boa formWsc handling functionality. An unauthenticated attacker can send specially crafted requests to trigger command execution via the targetAPSsid request parameter.