CVE-2026-10159
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W routerze TRENDnet TEW-432BRP w wersji 3.10B20 wykryto podatność przepełnienia bufora stosu w funkcji formSysLog pliku /goform/formSysLog, którą zdalny atakujący może wykorzystać poprzez manipulację argumentem current_page. Producent potwierdził, że produkt jest wycofany z eksploatacji od 15 lat i nie będzie wydawał poprawek.
Ocena ryzyka
Atakujący może zdalnie przepełnić bufor i potencjalnie wykonać dowolny kod, a ponieważ produkt nie jest już wspierany, nie ma dostępnej łatki – ryzyko jest trwałe.
Rekomendacja
Należy natychmiast wycofać router z użytkowania i zastąpić go nowszym, wspieranym modelem.
Inne podatności w TRENDnet TEW-432BRP
Zobacz wszystkie- CVE-2026-10061Średnie
W urządzeniu TRENDnet TEW-432BRP w wersji firmware 3.10B20 wykryto podatność na iniekcję poleceń w funkcji formWPS pliku /goform/formWPS. Manipulacja argumentem peerPin umożliwia zdalne wykonanie dowolnych poleceń. Producent potwierdził, że produkt jest wycofany z eksploatacji od 15 lat i nie będzie wydawał poprawek.
- CVE-2026-10060Średnie
W urządzeniu TRENDnet TEW-432BRP w wersji firmware 3.10B20 odkryto podatność umożliwiającą zdalne wykonanie kodu. Problem występuje w funkcji formSetRoute w pliku /goform/formSetRoute, gdzie parametry ip, mask i gateway są podatne na wstrzyknięcie komend. Producent potwierdził, że produkt jest wycofany z eksploatacji od 15 lat i nie będzie wydawał poprawek.
- CVE-2026-10183Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 wykryto przepełnienie bufora stosu w funkcji formWlanSetup pliku /goform/formWlanSetup. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
- CVE-2026-10182Średnie
Router TRENDnet TEW-432BRP w wersji 3.10B20 zawiera podatność na wstrzykiwanie komend w funkcji formWlanSetup pliku /goform/formWlanSetup. Manipulacja argumentem enrollee umożliwia zdalne wykonanie poleceń. Produkt jest wycofany z eksploatacji od 15 lat, a producent nie planuje wydania łatki.
- CVE-2026-10181Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 stwierdzono przepełnienie bufora stosu w funkcji formSysCmd pliku /goform/formSysCmd. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
- CVE-2026-10180Średnie
Router TRENDnet TEW-432BRP w wersji 3.10B20 zawiera podatność na wstrzykiwanie komend w funkcji formSysCmd pliku /goform/formSysCmd. Manipulacja argumentem sysCmd umożliwia zdalne wykonanie poleceń. Produkt jest wycofany z eksploatacji od 15 lat, a producent nie planuje wydania łatki.
- CVE-2026-10179Wysokie
W routerze TRENDnet TEW-432BRP w wersji 3.10B20, w funkcji formSetWlanEncrypt pliku /goform/formSetWlanEncrypt, manipulacja argumentem webpage prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent potwierdził, że produkt jest wycofany od 15 lat i nie będzie naprawiany.
- CVE-2026-10162Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 stwierdzono przepełnienie bufora stosu w funkcji formSetPassword pliku /goform/formSetPassword. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
- CVE-2026-10161Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 wykryto przepełnienie bufora stosu w funkcji formResetStatistic pliku /goform/formResetStatistic. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
- CVE-2026-10160Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 stwierdzono przepełnienie bufora stosu w funkcji formSetEnableWizard pliku /goform/formSetEnableWizard. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in TRENDnet TEW-432BRP 3.10B20. Affected by this vulnerability is the function formSysLog of the file /goform/formSysLog. This manipulation of the argument current_page causes stack-based buffer overflow. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks. The vendor explains: "This product has been EOL for 15 years (since 2009). As the item has been EOL for such a long time, we are not able to replicate or fix any vulnerabilities." This vulnerability only affects products that are no longer supported by the maintainer.