CVE-2026-22082
WysokieStreszczenie
Routery bezprzewodowe Tenda (300Mbps Wireless Router F3 i N300 Easy Setup Router) używają danych logowania jako identyfikatora sesji w interfejsie administracyjnym. Zdalny atakujący może przechwycić ruch sieciowy i uzyskać identyfikator sesji podczas niezabezpieczonej transmisji.
Ocena ryzyka
Przechwycenie sesji może umożliwić atakującemu przejęcie uwierzytelnionej sesji i naruszenie poufnych informacji konfiguracyjnych urządzenia.
Rekomendacja
Zabezpiecz transmisję danych administracyjnych (np. przez HTTPS) i rozważ zmianę mechanizmu sesji na bezpieczniejszy.
Inne podatności w Tenda Wireless Routers
Zobacz wszystkie- CVE-2026-22081Wysokie
Routery bezprzewodowe Tenda (300Mbps Wireless Router F3 i N300 Easy Setup Router) nie ustawiają flagi HTTPOnly dla ciasteczek sesji w interfejsie administracyjnym. Zdalny atakujący może przechwycić ciasteczka sesji przesyłane przez niezabezpieczone połączenie HTTP.
- CVE-2026-22080Wysokie
Routery bezprzewodowe Tenda (300Mbps Wireless Router F3 i N300 Easy Setup Router) przesyłają dane logowania zakodowane w odwracalnym formacie Base64 przez interfejs administracyjny. Atakujący w tej samej sieci może przechwycić ruch i uzyskać zakodowane dane logowania.
- CVE-2026-22079Wysokie
Routery bezprzewodowe Tenda (300Mbps Wireless Router F3 i N300 Easy Setup Router) przesyłają dane logowania w postaci jawnego tekstu podczas początkowego logowania lub po resecie fabrycznym przez interfejs administracyjny. Atakujący w tej samej sieci może przechwycić ruch i uzyskać dane logowania.
Oryginalny opis (angielski, źródło NVD)
This vulnerability exists in Tenda wireless routers (300Mbps Wireless Router F3 and N300 Easy Setup Router) due to the use of login credentials as the session ID through its web-based administrative interface. A remote attacker could exploit this vulnerability by intercepting network traffic and capturing the session ID during insecure transmission. Successful exploitation of this vulnerability could allow the attacker to hijack an authenticated session and compromise sensitive configuration information on the targeted device.