CVE-2025-51390
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 76 - wyżej niż 76% wszystkich znanych CVE
Streszczenie
W routerze TOTOLINK N600R w wersji oprogramowania V4.3.0cu.7647_B20210106 odkryto podatność na wstrzykiwanie poleceń. Problem występuje w funkcji setWiFiWpsConfig przez parametr pin.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia systemowe na urządzeniu, co prowadzi do pełnej kompromitacji routera i potencjalnego przejęcia kontroli nad siecią.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie routera TOTOLINK N600R do najnowszej dostępnej wersji. Jeśli aktualizacja nie jest dostępna, ogranicz dostęp do panelu administracyjnego tylko z zaufanych sieci.
Inne podatności w TOTOLINK N600R
Zobacz wszystkie- CVE-2026-79911Krytyczne
W TOTOLINK N600R w wersji 4.3.0cu.7647_B20210106 wykryto podatność na przepełnienie bufora oparte na stosie w funkcji setSystemConfig w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem Hostname prowadzi do przepełnienia bufora, co można wykorzystać zdalnie. Exploit został publicznie ujawniony.
- CVE-2025-46060Krytyczne
W routerze TOTOLINK N600R w wersji oprogramowania 4.3.0cu.7866_B2022506 wykryto podatność na przepełnienie bufora. Zdalny atakujący może wykorzystać komponent UPLOAD_FILENAME do wykonania dowolnego kodu.
- CVE-2026-82555Niskie
Podatność w TOTOLINK N600R w funkcji loginAuth w pliku cstecgi.cgi prowadzi do generowania niewystarczająco losowych wartości. Atak zdalny jest możliwy, ale charakteryzuje się wysoką złożonością i trudnością wykorzystania.
- CVE-2026-79912Wysokie
Wykryto podatność w TOTOLINK N600R 4.3.0cu.7647_B20210106. Dotkniętym elementem jest funkcja getCurrentTime w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem ntp_server prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być wykorzystany.
- CVE-2025-11444Wysokie
W urządzeniu TOTOLINK N600R do wersji 4.3.0cu.7866_B20220506 wykryto podatność w funkcji setWiFiBasicConfig w pliku /cgi-bin/cstecgi.cgi komponentu HTTP Request Handler. Manipulacja argumentem wepkey prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
TOTOLINK N600R V4.3.0cu.7647_B20210106 was discovered to contain a command injection vulnerability via the pin parameter in the setWiFiWpsConfig function.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS