CVE-2026-10062
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
W urządzeniu TRENDnet TEW-432BRP w wersji firmware 3.10B20 wykryto podatność polegającą na przepełnieniu bufora stosu w funkcji formSetRoute pliku /goform/formSetRoute. Atakujący może zdalnie manipulować argumentami ip/mask/gateway, co prowadzi do przepełnienia bufora. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości zdalnego wykonania kodu lub spowodowania awarii urządzenia, co może prowadzić do naruszenia integralności sieci. Producent nie zapewnia już wsparcia ani łat, ponieważ produkt jest wycofany z eksploatacji od 2009 roku.
Rekomendacja
Zaleca się natychmiastowe wycofanie z użytkowania urządzeń TRENDnet TEW-432BRP i zastąpienie ich nowszymi, wspieranymi modelami. Jeśli to niemożliwe, należy odizolować te urządzenia od sieci produkcyjnej i zastosować ścisłe reguły zapory sieciowej.
Inne podatności w TRENDnet TEW-432BRP
Zobacz wszystkie- CVE-2026-10061Średnie
W urządzeniu TRENDnet TEW-432BRP w wersji firmware 3.10B20 wykryto podatność na iniekcję poleceń w funkcji formWPS pliku /goform/formWPS. Manipulacja argumentem peerPin umożliwia zdalne wykonanie dowolnych poleceń. Producent potwierdził, że produkt jest wycofany z eksploatacji od 15 lat i nie będzie wydawał poprawek.
- CVE-2026-10060Średnie
W urządzeniu TRENDnet TEW-432BRP w wersji firmware 3.10B20 odkryto podatność umożliwiającą zdalne wykonanie kodu. Problem występuje w funkcji formSetRoute w pliku /goform/formSetRoute, gdzie parametry ip, mask i gateway są podatne na wstrzyknięcie komend. Producent potwierdził, że produkt jest wycofany z eksploatacji od 15 lat i nie będzie wydawał poprawek.
- CVE-2026-10183Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 wykryto przepełnienie bufora stosu w funkcji formWlanSetup pliku /goform/formWlanSetup. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
- CVE-2026-10182Średnie
Router TRENDnet TEW-432BRP w wersji 3.10B20 zawiera podatność na wstrzykiwanie komend w funkcji formWlanSetup pliku /goform/formWlanSetup. Manipulacja argumentem enrollee umożliwia zdalne wykonanie poleceń. Produkt jest wycofany z eksploatacji od 15 lat, a producent nie planuje wydania łatki.
- CVE-2026-10181Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 stwierdzono przepełnienie bufora stosu w funkcji formSysCmd pliku /goform/formSysCmd. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
- CVE-2026-10180Średnie
Router TRENDnet TEW-432BRP w wersji 3.10B20 zawiera podatność na wstrzykiwanie komend w funkcji formSysCmd pliku /goform/formSysCmd. Manipulacja argumentem sysCmd umożliwia zdalne wykonanie poleceń. Produkt jest wycofany z eksploatacji od 15 lat, a producent nie planuje wydania łatki.
- CVE-2026-10179Wysokie
W routerze TRENDnet TEW-432BRP w wersji 3.10B20, w funkcji formSetWlanEncrypt pliku /goform/formSetWlanEncrypt, manipulacja argumentem webpage prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent potwierdził, że produkt jest wycofany od 15 lat i nie będzie naprawiany.
- CVE-2026-10162Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 stwierdzono przepełnienie bufora stosu w funkcji formSetPassword pliku /goform/formSetPassword. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
- CVE-2026-10161Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 wykryto przepełnienie bufora stosu w funkcji formResetStatistic pliku /goform/formResetStatistic. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
- CVE-2026-10160Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 stwierdzono przepełnienie bufora stosu w funkcji formSetEnableWizard pliku /goform/formSetEnableWizard. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in TRENDnet TEW-432BRP 3.10B20. Affected by this vulnerability is the function formSetRoute of the file /goform/formSetRoute. This manipulation of the argument ip/mask/gateway causes stack-based buffer overflow. The attack is possible to be carried out remotely. The exploit has been publicly disclosed and may be utilized. The vendor explains: "This product has been EOL for 15 years (since 2009). As the item has been EOL for such a long time, we are not able to replicate or fix any vulnerabilities." This vulnerability only affects products that are no longer supported by the maintainer.