CVE-2026-24430
WysokieStreszczenie
Podatność w oprogramowaniu sprzętowym routera Shenzhen Tenda W30E V2 (do wersji V16.01.0.19(5037)) powoduje ujawnianie poufnych danych uwierzytelniających w postaci zwykłego tekstu w odpowiedziach HTTP generowanych przez interfejs konserwacyjny. Ponieważ interfejs zarządzania jest domyślnie dostępny przez niezaszyfrowany protokół HTTP, poświadczenia mogą zostać przechwycone przez osoby atakujące w sieci.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości przechwycenia haseł administratora i innych danych uwierzytelniających przez osoby trzecie w sieci lokalnej, co może prowadzić do nieautoryzowanego dostępu do routera i dalszej kompromitacji infrastruktury sieciowej.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie oprogramowania sprzętowego routera Tenda W30E do wersji nowszej niż V16.01.0.19(5037), jeśli taka jest dostępna, oraz skonfigurowanie dostępu do interfejsu zarządzania wyłącznie przez szyfrowany protokół HTTPS lub ograniczenie dostępu do zaufanych adresów IP.
Inne podatności w Tenda W30E
Zobacz wszystkie- CVE-2026-24440Wysokie
Podatność w oprogramowaniu sprzętowym routera Shenzhen Tenda W30E V2 (do wersji V16.01.0.19(5037)) pozwala na zmianę hasła konta przez interfejs konserwacyjny bez weryfikacji obecnego hasła. Umożliwia to nieautoryzowaną zmianę hasła, jeśli osoba atakująca uzyska dostęp do tego interfejsu.
- CVE-2026-24428Wysokie
Podatność w oprogramowaniu sprzętowym routera Shenzhen Tenda W30E V2 (do wersji V16.01.0.19(5037)) pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na zmianę hasła administratora. Atak polega na wysłaniu spreparowanego żądania bezpośrednio do API zarządzania użytkownikami, z pominięciem kontroli dostępu narzuconych przez interfejs webowy.
Oryginalny opis (angielski, źródło NVD)
Shenzhen Tenda W30E V2 firmware versions up to and including V16.01.0.19(5037) disclose sensitive account credentials in cleartext within HTTP responses generated by the maintenance interface. Because the management interface is accessible over unencrypted HTTP by default, credentials may be exposed to network-based interception.