CVE-2026-19748
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W urządzeniach Tenda CH7, CH7G, CH10, CP3, CP3 Pro, CP7, TC3B14C, TC3B15C, TC3T14C i TC3T15C do wersji 20260625 wykryto podatność w funkcji CWebSessionManager_ParseSession pliku /user/bin/Kylin komponentu Kylin Web Service. Manipulacja argumentem SESSION prowadzi do niewystarczającej entropii, co może być wykorzystane zdalnie, ale atak jest trudny.
Ocena ryzyka
Ryzyko przewidzenia sesji lub obejścia mechanizmów bezpieczeństwa, co może prowadzić do nieautoryzowanego dostępu.
Rekomendacja
Zaktualizuj oprogramowanie urządzeń do najnowszej wersji, jeśli dostępna, i monitoruj komunikaty producenta.
Inne podatności w Tenda
Zobacz wszystkie- CVE-2026-19747Krytyczne
Słabość została zidentyfikowana w Tenda CH7, CH7G, CH10, CP3, CP3 Pro, CP7, TC3B14C, TC3B15C, TC3T14C i TC3T15C do 20260625. Wpływa na funkcję CAte::HandleCmd w pliku Kylin w komponencie ATE Module. Ta manipulacja powoduje wstrzyknięcie poleceń. Atak może być przeprowadzony zdalnie.
- CVE-2026-38063Krytyczne
Tenda 5G03 w wersji 5.03.02.04 (wersja 1.0) jest podatna na wstrzykiwanie poleceń w funkcji action_radio_on_with_ia_apn poprzez parametr ia.
- CVE-2021-44971Krytyczne
Wielokrotne urządzenia Tenda są podatne na obejście uwierzytelnienia, co pozwala atakującemu na uzyskanie wrażliwych informacji. Podatność może być połączona z uwierzytelnionym wstrzykiwaniem poleceń w celu zdalnego wykonania kodu (RCE).
- CVE-2026-19749Niskie
W urządzeniach Tenda CH7, CH7G, CH10, CP3, CP3 Pro, CP7, TC3B14C, TC3B15C, TC3T14C i TC3T15C do wersji 20260625 wykryto podatność w komponencie RTSP/ONVIF, która prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania.
- CVE-2026-5685Wysokie
W routerze Tenda CX12L w wersji 16.03.53.12 występuje przepełnienie bufora stosu w funkcji fromAddressNat pliku /goform/addressNat. Manipulacja argumentem page umożliwia zdalne wykonanie ataku.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in Tenda CH7, CH7G, CH10, CP3, CP3 Pro, CP7, TC3B14C, TC3B15C, TC3T14C and TC3T15C up to 20260625. Affected is the function CWebSessionManager_ParseSession of the file /user/bin/Kylin of the component Kylin Web Service. Such manipulation of the argument SESSION leads to insufficient entropy. The attack may be performed from remote. Attacks of this nature are highly complex. The exploitability is told to be difficult.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS