CVE-2026-0841
WysokieStreszczenie
Wykryto podatność w urządzeniu UTT 进取 520W w wersji 1.7.7-180627. Problem dotyczy funkcji strcpy w pliku /goform/formPictureUrl, gdzie manipulacja argumentem importpictureurl prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Organizacja narażona jest na zdalne przejęcie kontroli nad urządzeniem lub jego awarię, co może prowadzić do przerwania działania sieci lub naruszenia integralności danych. Publiczny exploit zwiększa ryzyko aktywnego wykorzystania podatności.
Rekomendacja
Należy natychmiast sprawdzić, czy urządzenie jest narażone, i jeśli to możliwe, wyłączyć je z sieci lub zastosować dostępne aktualizacje. W przypadku braku aktualizacji, ograniczyć dostęp do panelu administracyjnego i monitorować ruch sieciowy.
Inne podatności w UTT 进取 520W
Zobacz wszystkie- CVE-2026-0840Wysokie
Wykryto podatność w urządzeniu UTT 进取 520W w wersji 1.7.7-180627. Problem dotyczy funkcji strcpy w pliku /goform/formConfigNoticeConfig, gdzie argument timestart może spowodować przepełnienie bufora. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-0839Wysokie
W produkcie UTT 进取 520W w wersji 1.7.7-180627 wykryto podatność związaną z funkcją strcpy w pliku /goform/APSecurity. Manipulacja argumentem wepkey1 może prowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a publicznie dostępny exploit zwiększa ryzyko wykorzystania.
- CVE-2026-0838Wysokie
W urządzeniu UTT 进取 520W w wersji 1.7.7-180627 odkryto podatność związaną z funkcją strcpy w pliku /goform/ConfigWirelessBase. Manipulacja argumentem ssid prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a publicznie dostępny exploit zwiększa ryzyko wykorzystania.
- CVE-2026-0837Wysokie
W produkcie UTT 进取 520W w wersji 1.7.7-180627 wykryto podatność w funkcji strcpy w pliku /goform/formFireWall. Manipulacja argumentem GroupName prowadzi do przepełnienia bufora. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-0836Wysokie
W urządzeniu UTT 进取 520W w wersji 1.7.7-180627 wykryto podatność polegającą na przepełnieniu bufora w funkcji strcpy w pliku /goform/formConfigFastDirectionW. Manipulacja argumentem ssid powoduje przepełnienie bufora, co może zostać wykorzystane zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2025-15462Wysokie
Urządzenie UTT 进取 520W w wersji 1.7.7-180627 zawiera podatność na przepełnienie bufora w funkcji strcpy w pliku /goform/ConfigAdvideo. Manipulacja argumentem timestart prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2025-15461Wysokie
Urządzenie UTT 进取 520W w wersji 1.7.7-180627 zawiera podatność na przepełnienie bufora w funkcji strcpy w pliku /goform/formTaskEdit. Manipulacja argumentem selDateType prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2025-15460Wysokie
Urządzenie UTT 进取 520W w wersji 1.7.7-180627 zawiera podatność na przepełnienie bufora w funkcji strcpy w pliku /goform/formPptpClientConfig. Manipulacja argumentem EncryptionMode prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2025-15459Wysokie
Urządzenie UTT 进取 520W w wersji 1.7.7-180627 zawiera podatność na przepełnienie bufora w funkcji strcpy w pliku /goform/formUser. Manipulacja argumentem passwd1 prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2025-15429Wysokie
Wykryto podatność w UTT 进取 512W w wersji 1.7.7-171114. Funkcja strcpy w pliku /goform/formConfigCliForEngineerOnly pozwala na przepełnienie bufora przez argument addCommand. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in UTT 进取 520W 1.7.7-180627. Affected by this issue is the function strcpy of the file /goform/formPictureUrl. The manipulation of the argument importpictureurl results in buffer overflow. It is possible to launch the attack remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.