CVE-2026-77031
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 69 - wyżej niż 69% wszystkich znanych CVE
Streszczenie
W urządzeniu Tenda CH22 w wersji 1.0.0.1 znaleziono podatność w funkcji formcreateFileName w pliku /goform/formcreateFileName. Manipulacja argumentem fileNameMit prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia na urządzeniu, co może prowadzić do pełnej kompromitacji urządzenia i sieci, w której się znajduje.
Rekomendacja
Zastosuj dostępne aktualizacje oprogramowania układowego od producenta. Jeśli nie są dostępne, ogranicz dostęp do urządzenia z zaufanych sieci i monitoruj logi pod kątem podejrzanych działań.
Inne podatności w Tenda CH22
Zobacz wszystkie- CVE-2025-15229Średnie
Znaleziono podatność w Tenda CH22 do wersji 1.0.0.1. Dotyczy funkcji fromDhcpListClient w pliku /goform/DhcpListClient. Manipulacja argumentem LISTLEN prowadzi do odmowy usługi. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie.
- CVE-2025-11418Krytyczne
W Tenda CH22 do wersji 1.0.0.1 wykryto podatność w funkcji formWrlsafeset w pliku /goform/AdvSetWrlsafeset. Manipulacja argumentem mit_ssid_index prowadzi do przepełnienia bufora na stosie, a atak może być przeprowadzony zdalnie.
- CVE-2026-78141Wysokie
Podatność w Tenda CH22 1.0.0.1 w funkcji formexeCommand pliku /goform/exeCommand. Manipulacja argumentem cmdinput prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-78063Wysokie
W produkcie Tenda CH22 w wersji 1.0.0.1 odkryto podatność na wstrzyknięcie komend w funkcji formeditFileName pliku /goform/editFileName. Manipulacja argumentem editNameMit umożliwia zdalne wykonanie ataku. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-19346Wysokie
W urządzeniu Tenda CH22 w wersji 1.0.0.1 wykryto podatność na wstrzykiwanie komend w funkcji formCertListInfo pliku /goform/CertListInfo. Manipulacja argumentem Name umożliwia zdalne wykonanie komend. Exploit jest publiczny.
- CVE-2026-15543Wysokie
W urządzeniu Tenda CH22 w wersji 1.0.0.1 odkryto podatność polegającą na przepełnieniu bufora w funkcji formCertListInfo pliku /goform/CertListInfo. Atakujący może zdalnie manipulować argumentem Name, co prowadzi do przepełnienia bufora. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-5605Wysokie
W urządzeniu Tenda CH22 w wersji 1.0.0.1 wykryto podatność na przepełnienie bufora stosu w funkcji formWrlExtraSet pliku /goform/WrlExtraSet. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem GO. Exploit został upubliczniony.
- CVE-2026-5604Wysokie
W Tenda CH22 w wersji 1.0.0.1 odkryto lukę bezpieczeństwa. Podatność dotyczy funkcji formCertLocalPrecreate w pliku /goform/CertLocalPrecreate, gdzie manipulacja argumentem standard prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-5204Wysokie
Router Tenda CH22 w wersji 1.0.0.1 zawiera podatność na przepełnienie bufora stosu w funkcji formWebTypeLibrary w pliku /goform/webtypelibrary. Manipulacja argumentem webSiteId umożliwia zdalne wykonanie kodu. Exploit został publicznie ujawniony.
- CVE-2025-12274Wysokie
W Tenda CH22 w funkcji fromP2pListFilter pliku /goform/P2pListFilter stwierdzono podatność na przepełnienie bufora, spowodowaną manipulacją argumentem page. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in Tenda CH22 1.0.0.1. The affected element is the function formcreateFileName of the file /goform/formcreateFileName. The manipulation of the argument fileNameMit leads to command injection. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS