CVE-2026-10158
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W routerze TRENDnet TEW-432BRP w wersji 3.10B20 wykryto podatność przepełnienia bufora stosu w funkcji formPortFw pliku /goform/formPortFw, którą zdalny atakujący może wykorzystać poprzez manipulację argumentem server_name. Producent potwierdził, że produkt jest wycofany z eksploatacji od 15 lat i nie będzie wydawał poprawek.
Ocena ryzyka
Atakujący może zdalnie przepełnić bufor i potencjalnie wykonać dowolny kod, a ponieważ produkt nie jest już wspierany, nie ma dostępnej łatki – ryzyko jest trwałe.
Rekomendacja
Należy natychmiast wycofać router z użytkowania i zastąpić go nowszym, wspieranym modelem.
Inne podatności w TRENDnet TEW-432BRP
Zobacz wszystkie- CVE-2026-10061Średnie
W urządzeniu TRENDnet TEW-432BRP w wersji firmware 3.10B20 wykryto podatność na iniekcję poleceń w funkcji formWPS pliku /goform/formWPS. Manipulacja argumentem peerPin umożliwia zdalne wykonanie dowolnych poleceń. Producent potwierdził, że produkt jest wycofany z eksploatacji od 15 lat i nie będzie wydawał poprawek.
- CVE-2026-10060Średnie
W urządzeniu TRENDnet TEW-432BRP w wersji firmware 3.10B20 odkryto podatność umożliwiającą zdalne wykonanie kodu. Problem występuje w funkcji formSetRoute w pliku /goform/formSetRoute, gdzie parametry ip, mask i gateway są podatne na wstrzyknięcie komend. Producent potwierdził, że produkt jest wycofany z eksploatacji od 15 lat i nie będzie wydawał poprawek.
- CVE-2026-10183Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 wykryto przepełnienie bufora stosu w funkcji formWlanSetup pliku /goform/formWlanSetup. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
- CVE-2026-10182Średnie
Router TRENDnet TEW-432BRP w wersji 3.10B20 zawiera podatność na wstrzykiwanie komend w funkcji formWlanSetup pliku /goform/formWlanSetup. Manipulacja argumentem enrollee umożliwia zdalne wykonanie poleceń. Produkt jest wycofany z eksploatacji od 15 lat, a producent nie planuje wydania łatki.
- CVE-2026-10181Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 stwierdzono przepełnienie bufora stosu w funkcji formSysCmd pliku /goform/formSysCmd. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
- CVE-2026-10180Średnie
Router TRENDnet TEW-432BRP w wersji 3.10B20 zawiera podatność na wstrzykiwanie komend w funkcji formSysCmd pliku /goform/formSysCmd. Manipulacja argumentem sysCmd umożliwia zdalne wykonanie poleceń. Produkt jest wycofany z eksploatacji od 15 lat, a producent nie planuje wydania łatki.
- CVE-2026-10179Wysokie
W routerze TRENDnet TEW-432BRP w wersji 3.10B20, w funkcji formSetWlanEncrypt pliku /goform/formSetWlanEncrypt, manipulacja argumentem webpage prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent potwierdził, że produkt jest wycofany od 15 lat i nie będzie naprawiany.
- CVE-2026-10162Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 stwierdzono przepełnienie bufora stosu w funkcji formSetPassword pliku /goform/formSetPassword. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
- CVE-2026-10161Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 wykryto przepełnienie bufora stosu w funkcji formResetStatistic pliku /goform/formResetStatistic. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
- CVE-2026-10160Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 stwierdzono przepełnienie bufora stosu w funkcji formSetEnableWizard pliku /goform/formSetEnableWizard. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in TRENDnet TEW-432BRP 3.10B20. Affected is the function formPortFw of the file /goform/formPortFw. The manipulation of the argument server_name results in stack-based buffer overflow. It is possible to launch the attack remotely. The exploit has been released to the public and may be used for attacks. The vendor explains: "This product has been EOL for 15 years (since 2009). As the item has been EOL for such a long time, we are not able to replicate or fix any vulnerabilities." This vulnerability only affects products that are no longer supported by the maintainer.