CVE-2025-37162
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 58 - wyżej niż 58% wszystkich znanych CVE
Streszczenie
Podatność w interfejsie wiersza poleceń dotkniętych urządzeń może pozwolić uwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataku polegającego na wstrzyknięciu poleceń. Skuteczne wykorzystanie może pozwolić atakującemu na wykonanie dowolnych poleceń w systemie operacyjnym.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolne polecenia na systemie, co może prowadzić do pełnej kompromitacji urządzenia.
Rekomendacja
Zastosuj poprawki dostarczone przez producenta urządzenia i ogranicz dostęp do interfejsu wiersza poleceń.
Inne podatności w Unknown Device
Zobacz wszystkie- CVE-2025-41732Krytyczne
Nieuwierzytelniony zdalny atakujący może wykorzystać niebezpieczne wywołania sscanf w funkcji check_cookie() do zapisu dowolnych danych do buforów o stałym rozmiarze na stosie, co prowadzi do pełnego przejęcia urządzenia.
- CVE-2025-41730Krytyczne
Nieuwierzytelniony zdalny atakujący może wykorzystać niebezpieczne wywołania sscanf w funkcji check_account() do zapisu dowolnych danych do buforów o stałym rozmiarze na stosie, co prowadzi do pełnego przejęcia urządzenia.
- CVE-2025-41734Krytyczne
Nieuwierzytelniony zdalny atakujący może wykonywać dowolne pliki PHP i uzyskać pełny dostęp do dotkniętych urządzeń.
- CVE-2025-41733Krytyczne
Kreator konfiguracji na dotkniętych urządzeniach nie sprawdza, czy urządzenie jest już zainicjalizowane. Nieuwierzytelniony zdalny atakujący może skonstruować żądania POST w celu ustawienia poświadczeń roota.
- CVE-2026-32646Wysokie
Określony endpoint administracyjny jest dostępny bez odpowiedniego uwierzytelnienia, co ujawnia funkcje zarządzania urządzeniem. Brak kontroli dostępu umożliwia nieautoryzowanym użytkownikom dostęp do wrażliwych operacji.
- CVE-2025-41697Średnie
Atakujący może wykorzystać nieudokumentowany port UART na płytce PCB jako kanał boczny, aby uzyskać dostęp root, np. przy użyciu danych uwierzytelniających uzyskanych z CVE-2025-41692.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the command line interface of affected devices could allow an authenticated remote attacker to conduct a command injection attack. Successful exploitation could allow an attacker to execute arbitrary commands on the underlying operating system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS