CVE-2026-19924
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
Wykryto podatność w routerze Tenda AC10 w wersji 16.03.10.09_multi_TDE01. Dotyczy ona funkcji R7WebsSecurityHandler w komponencie httpd, co prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wykorzystać nieprawidłowe uwierzytelnienie do uzyskania nieautoryzowanego dostępu do routera, co może prowadzić do przejęcia kontroli nad urządzeniem i siecią.
Rekomendacja
Zaktualizuj oprogramowanie routera do najnowszej wersji, jeśli dostępna. Ogranicz dostęp do panelu administracyjnego i zmień domyślne hasła.
Inne podatności w Tenda AC10
Zobacz wszystkie- CVE-2026-16248Wysokie
W urządzeniu Tenda AC10 w wersji 16.03.10.09_multi_TDE01 wykryto podatność w funkcji fromAdvSetLanip pliku /goform/AdvSetLanip. Manipulacja argumentami GetValue/SetValue prowadzi do przepełnienia bufora na stosie, co może być wykorzystane zdalnie.
- CVE-2026-51380Krytyczne
Podatność przepełnienia bufora w routerze Tenda AC10 v3 (firmware V03.03.16.09) umożliwia atakującemu spowodowanie trwałej odmowy usługi (DoS) lub potencjalnie zdalne wykonanie kodu poprzez endpoint /cgi-bin/UploadCfg.
- CVE-2023-40904Krytyczne
W urządzeniu Tenda AC10 v4 zidentyfikowano przepełnienie stosu związane z parametrami macFilterType oraz deviceList w punkcie końcowym /goform/setMacFilterCfg.
- CVE-2023-37144Krytyczne
W urządzeniu Tenda AC10 w wersji v15.03.06.26 odkryto podatność na wstrzykiwanie poleceń poprzez parametr mac w funkcji formWriteFacMac.
- CVE-2026-5550Wysokie
W routerze Tenda AC10 w wersji 16.03.10.10_multi_TDE01 stwierdzono podatność na przepełnienie bufora stosu w funkcji fromSysToolChangePwd pliku /bin/httpd. Atak może być przeprowadzony zdalnie i może dotyczyć wielu punktów końcowych.
- CVE-2026-5549Średnie
Podatność w Tenda AC10 w wersji 16.03.10.10_multi_TDE01, dotycząca pliku /webroot_ro/pem/privkeySrv.pem w komponencie RSA 2048-bit Private Key Handler. Manipulacja prowadzi do użycia zakodowanego na stałe klucza kryptograficznego. Atak zdalny jest możliwy, exploit publicznie dostępny.
- CVE-2026-5548Wysokie
W routerze Tenda AC10 w wersji 16.03.10.10_multi_TDE01 stwierdzono podatność na przepełnienie bufora stosu w funkcji fromSysToolChangePwd pliku /bin/httpd. Manipulacja argumentem sys.userpass prowadzi do przepełnienia bufora, a atak może być zainicjowany zdalnie.
- CVE-2026-5547Średnie
W routerze Tenda AC10 w wersji 16.03.10.10_multi_TDE01 funkcja formAddMacfilterRule w pliku /bin/httpd jest podatna na wstrzykiwanie poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a wiele punktów końcowych może być podatnych.
- CVE-2025-57220Średnie
Wada walidacji danych wejściowych w usłudze 'ate' routera Tenda AC10 v4.0 z oprogramowaniem v16.03.10.09_multi_TDE01 umożliwia podniesienie uprawnień do roota poprzez spreparowany pakiet UDP.
- CVE-2025-57218Średnie
Router Tenda AC10 v4.0 z oprogramowaniem v16.03.10.09_multi_TDE01 zawiera przepełnienie stosu przez parametr security_5g w funkcji sub_46284C.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in Tenda AC10 16.03.10.09_multi_TDE01. This vulnerability affects the function R7WebsSecurityHandler of the component httpd. The manipulation leads to improper authentication. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS