CVE-2026-10180
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 61 - wyżej niż 61% wszystkich znanych CVE
Streszczenie
Router TRENDnet TEW-432BRP w wersji 3.10B20 zawiera podatność na wstrzykiwanie komend w funkcji formSysCmd pliku /goform/formSysCmd. Manipulacja argumentem sysCmd umożliwia zdalne wykonanie poleceń. Produkt jest wycofany z eksploatacji od 15 lat, a producent nie planuje wydania łatki.
Ocena ryzyka
Urządzenie nie otrzyma już poprawek bezpieczeństwa, co czyni je łatwym celem dla ataków zdalnych, mogących prowadzić do przejęcia kontroli nad routerem.
Rekomendacja
Należy niezwłocznie wymienić router na nowszy model, który jest nadal wspierany przez producenta.
Inne podatności w TRENDnet TEW-432BRP
Zobacz wszystkie- CVE-2026-10061Średnie
W urządzeniu TRENDnet TEW-432BRP w wersji firmware 3.10B20 wykryto podatność na iniekcję poleceń w funkcji formWPS pliku /goform/formWPS. Manipulacja argumentem peerPin umożliwia zdalne wykonanie dowolnych poleceń. Producent potwierdził, że produkt jest wycofany z eksploatacji od 15 lat i nie będzie wydawał poprawek.
- CVE-2026-10060Średnie
W urządzeniu TRENDnet TEW-432BRP w wersji firmware 3.10B20 odkryto podatność umożliwiającą zdalne wykonanie kodu. Problem występuje w funkcji formSetRoute w pliku /goform/formSetRoute, gdzie parametry ip, mask i gateway są podatne na wstrzyknięcie komend. Producent potwierdził, że produkt jest wycofany z eksploatacji od 15 lat i nie będzie wydawał poprawek.
- CVE-2026-10183Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 wykryto przepełnienie bufora stosu w funkcji formWlanSetup pliku /goform/formWlanSetup. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
- CVE-2026-10182Średnie
Router TRENDnet TEW-432BRP w wersji 3.10B20 zawiera podatność na wstrzykiwanie komend w funkcji formWlanSetup pliku /goform/formWlanSetup. Manipulacja argumentem enrollee umożliwia zdalne wykonanie poleceń. Produkt jest wycofany z eksploatacji od 15 lat, a producent nie planuje wydania łatki.
- CVE-2026-10181Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 stwierdzono przepełnienie bufora stosu w funkcji formSysCmd pliku /goform/formSysCmd. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
- CVE-2026-10179Wysokie
W routerze TRENDnet TEW-432BRP w wersji 3.10B20, w funkcji formSetWlanEncrypt pliku /goform/formSetWlanEncrypt, manipulacja argumentem webpage prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent potwierdził, że produkt jest wycofany od 15 lat i nie będzie naprawiany.
- CVE-2026-10162Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 stwierdzono przepełnienie bufora stosu w funkcji formSetPassword pliku /goform/formSetPassword. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
- CVE-2026-10161Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 wykryto przepełnienie bufora stosu w funkcji formResetStatistic pliku /goform/formResetStatistic. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
- CVE-2026-10160Wysokie
W TRENDnet TEW-432BRP w wersji 3.10B20 stwierdzono przepełnienie bufora stosu w funkcji formSetEnableWizard pliku /goform/formSetEnableWizard. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent informuje, że produkt jest wycofany z eksploatacji od 15 lat.
- CVE-2026-10159Wysokie
W routerze TRENDnet TEW-432BRP w wersji 3.10B20 wykryto podatność przepełnienia bufora stosu w funkcji formSysLog pliku /goform/formSysLog, którą zdalny atakujący może wykorzystać poprzez manipulację argumentem current_page. Producent potwierdził, że produkt jest wycofany z eksploatacji od 15 lat i nie będzie wydawał poprawek.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in TRENDnet TEW-432BRP 3.10B20. Impacted is the function formSysCmd of the file /goform/formSysCmd. Such manipulation of the argument sysCmd leads to command injection. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used. The vendor explains: "This product has been EOL for 15 years (since 2009). As the item has been EOL for such a long time, we are not able to replicate or fix any vulnerabilities." This vulnerability only affects products that are no longer supported by the maintainer.