CVE-2026-10061
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 91 - wyżej niż 91% wszystkich znanych CVE
Streszczenie
W urządzeniu TRENDnet TEW-432BRP w wersji firmware 3.10B20 wykryto podatność na iniekcję poleceń w funkcji formWPS pliku /goform/formWPS. Manipulacja argumentem peerPin umożliwia zdalne wykonanie dowolnych poleceń. Producent potwierdził, że produkt jest wycofany z eksploatacji od 15 lat i nie będzie wydawał poprawek.
Ocena ryzyka
Atakujący może zdalnie przejąć kontrolę nad urządzeniem, co prowadzi do naruszenia poufności i integralności sieci. Ponieważ urządzenie nie otrzyma już aktualizacji, ryzyko jest trwałe i wymaga natychmiastowej izolacji lub wymiany sprzętu.
Rekomendacja
Należy natychmiast wycofać z użytkowania wszystkie urządzenia TRENDnet TEW-432BRP i zastąpić je nowszymi, wspieranymi modelami. Jeśli to niemożliwe, należy odizolować je od sieci produkcyjnej i zablokować dostęp do interfejsu zarządzania.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in TRENDnet TEW-432BRP 3.10B20. Affected is the function formWPS of the file /goform/formWPS. The manipulation of the argument peerPin results in command injection. The attack can be executed remotely. The exploit has been made public and could be used. The vendor explains: "This product has been EOL for 15 years (since 2009). As the item has been EOL for such a long time, we are not able to replicate or fix any vulnerabilities." This vulnerability only affects products that are no longer supported by the maintainer.