CVE-2026-78141
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
Podatność w Tenda CH22 1.0.0.1 w funkcji formexeCommand pliku /goform/exeCommand. Manipulacja argumentem cmdinput prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia systemowe na urządzeniu, co może prowadzić do pełnej kompromitacji urządzenia i sieci.
Rekomendacja
Zaleca się aktualizację firmware do najnowszej wersji lub zastosowanie dostępnych poprawek. Należy również ograniczyć dostęp do panelu administracyjnego i interfejsów zarządzania.
Inne podatności w Tenda CH22
Zobacz wszystkie- CVE-2026-78063Wysokie
W produkcie Tenda CH22 w wersji 1.0.0.1 odkryto podatność na wstrzyknięcie komend w funkcji formeditFileName pliku /goform/editFileName. Manipulacja argumentem editNameMit umożliwia zdalne wykonanie ataku. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-77031Wysokie
W urządzeniu Tenda CH22 w wersji 1.0.0.1 znaleziono podatność w funkcji formcreateFileName w pliku /goform/formcreateFileName. Manipulacja argumentem fileNameMit prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-19346Wysokie
W urządzeniu Tenda CH22 w wersji 1.0.0.1 wykryto podatność na wstrzykiwanie komend w funkcji formCertListInfo pliku /goform/CertListInfo. Manipulacja argumentem Name umożliwia zdalne wykonanie komend. Exploit jest publiczny.
- CVE-2026-15543Wysokie
W urządzeniu Tenda CH22 w wersji 1.0.0.1 odkryto podatność polegającą na przepełnieniu bufora w funkcji formCertListInfo pliku /goform/CertListInfo. Atakujący może zdalnie manipulować argumentem Name, co prowadzi do przepełnienia bufora. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-5605Wysokie
W urządzeniu Tenda CH22 w wersji 1.0.0.1 wykryto podatność na przepełnienie bufora stosu w funkcji formWrlExtraSet pliku /goform/WrlExtraSet. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem GO. Exploit został upubliczniony.
- CVE-2026-5604Wysokie
W Tenda CH22 w wersji 1.0.0.1 odkryto lukę bezpieczeństwa. Podatność dotyczy funkcji formCertLocalPrecreate w pliku /goform/CertLocalPrecreate, gdzie manipulacja argumentem standard prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-5204Wysokie
Router Tenda CH22 w wersji 1.0.0.1 zawiera podatność na przepełnienie bufora stosu w funkcji formWebTypeLibrary w pliku /goform/webtypelibrary. Manipulacja argumentem webSiteId umożliwia zdalne wykonanie kodu. Exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in Tenda CH22 1.0.0.1. This affects the function formexeCommand of the file /goform/exeCommand. The manipulation of the argument cmdinput leads to command injection. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used.