CVE-2026-78141
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 86 - wyżej niż 86% wszystkich znanych CVE
Streszczenie
Podatność w Tenda CH22 1.0.0.1 w funkcji formexeCommand pliku /goform/exeCommand. Manipulacja argumentem cmdinput prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia systemowe na urządzeniu, co może prowadzić do pełnej kompromitacji urządzenia i sieci.
Rekomendacja
Zaleca się aktualizację firmware do najnowszej wersji lub zastosowanie dostępnych poprawek. Należy również ograniczyć dostęp do panelu administracyjnego i interfejsów zarządzania.
Inne podatności w Tenda CH22
Zobacz wszystkie- CVE-2025-15229Średnie
Znaleziono podatność w Tenda CH22 do wersji 1.0.0.1. Dotyczy funkcji fromDhcpListClient w pliku /goform/DhcpListClient. Manipulacja argumentem LISTLEN prowadzi do odmowy usługi. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie.
- CVE-2025-11418Krytyczne
W Tenda CH22 do wersji 1.0.0.1 wykryto podatność w funkcji formWrlsafeset w pliku /goform/AdvSetWrlsafeset. Manipulacja argumentem mit_ssid_index prowadzi do przepełnienia bufora na stosie, a atak może być przeprowadzony zdalnie.
- CVE-2026-78063Wysokie
W produkcie Tenda CH22 w wersji 1.0.0.1 odkryto podatność na wstrzyknięcie komend w funkcji formeditFileName pliku /goform/editFileName. Manipulacja argumentem editNameMit umożliwia zdalne wykonanie ataku. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-77031Wysokie
W urządzeniu Tenda CH22 w wersji 1.0.0.1 znaleziono podatność w funkcji formcreateFileName w pliku /goform/formcreateFileName. Manipulacja argumentem fileNameMit prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-19346Wysokie
W urządzeniu Tenda CH22 w wersji 1.0.0.1 wykryto podatność na wstrzykiwanie komend w funkcji formCertListInfo pliku /goform/CertListInfo. Manipulacja argumentem Name umożliwia zdalne wykonanie komend. Exploit jest publiczny.
- CVE-2026-15543Wysokie
W urządzeniu Tenda CH22 w wersji 1.0.0.1 odkryto podatność polegającą na przepełnieniu bufora w funkcji formCertListInfo pliku /goform/CertListInfo. Atakujący może zdalnie manipulować argumentem Name, co prowadzi do przepełnienia bufora. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-5605Wysokie
W urządzeniu Tenda CH22 w wersji 1.0.0.1 wykryto podatność na przepełnienie bufora stosu w funkcji formWrlExtraSet pliku /goform/WrlExtraSet. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem GO. Exploit został upubliczniony.
- CVE-2026-5604Wysokie
W Tenda CH22 w wersji 1.0.0.1 odkryto lukę bezpieczeństwa. Podatność dotyczy funkcji formCertLocalPrecreate w pliku /goform/CertLocalPrecreate, gdzie manipulacja argumentem standard prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-5204Wysokie
Router Tenda CH22 w wersji 1.0.0.1 zawiera podatność na przepełnienie bufora stosu w funkcji formWebTypeLibrary w pliku /goform/webtypelibrary. Manipulacja argumentem webSiteId umożliwia zdalne wykonanie kodu. Exploit został publicznie ujawniony.
- CVE-2025-12274Wysokie
W Tenda CH22 w funkcji fromP2pListFilter pliku /goform/P2pListFilter stwierdzono podatność na przepełnienie bufora, spowodowaną manipulacją argumentem page. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in Tenda CH22 1.0.0.1. This affects the function formexeCommand of the file /goform/exeCommand. The manipulation of the argument cmdinput leads to command injection. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS