CVE-2026-93740
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formWlEncrypt w pliku /boafrm/formWlEncrypt. Manipulacja argumentem submit-url pozwala na zdalne wywołanie przepełnienia. Exploit jest publicznie dostępny i może zostać wykorzystany.
Ocena ryzyka
Atakujący z dostępem sieciowym może zdalnie wykorzystać przepełnienie bufora, co może prowadzić do wykonania kodu lub zawieszenia usługi na urządzeniu brzegowym. Ponieważ exploit jest publiczny, ryzyko szybkiego wykorzystania jest wysokie.
Rekomendacja
Zaktualizuj firmware urządzenia Totolink A3002MU do najnowszej wersji, jeśli producent udostępnił poprawkę, lub ogranicz dostęp do interfejsu zarządzania do zaufanych sieci. Rozważ wyłączenie lub odizolowanie podatnego urządzenia do czasu wydania łatki.
Inne podatności w Totolink A3002MU
Zobacz wszystkie- CVE-2026-105285Krytyczne
Wykryto podatność w urządzeniu Totolink A3002MU w wersji 1.0.0-B20230403.1455. Dotyczy ona nieznanej funkcji w pliku /boafrm/formIpQoS komponentu QoS Rule Handler. Manipulacja argumentami addQos/comment/entry_name prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-105284Krytyczne
Zidentyfikowano słabość w urządzeniu Totolink A3002MU w wersji 1.0.0-B20230403.1455. Dotyczy ona funkcji sub_40FCFC w pliku /bin/boa komponentu Authentication Check. Wykonanie manipulacji może prowadzić do nieprawidłowej autoryzacji. Atak może być uruchomiony zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-93742Krytyczne
W routerze Totolink A3002MU (wersja Hh-B20211125.1046) wykryto lukę w funkcji formWsc w pliku /boafrm/formWsc. Manipulacja argumentem localPin prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-93741Krytyczne
W routerze Totolink A3002MU (wersja Hh-B20211125.1046) wykryto lukę w funkcji formWlWds w pliku /boafrm/formWlWds. Manipulacja argumentem submit-url powoduje przepełnienie bufora. Atak można przeprowadzić zdalnie, a publiczny exploit został już udostępniony.
- CVE-2026-93739Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formWlAc w pliku /boafrm/formWlAc. Manipulacja argumentem submit-url może doprowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-93738Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formSchedule w pliku /boafrm/formSchedule. Manipulacja argumentem webpage prowadzi do przepełnienia bufora. Atak jest możliwy zdalnie, a exploit został upubliczniony.
- CVE-2026-90608Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formPortFw w pliku /boafrm/formPortFw (komponent boa). Manipulacja argumentem service_type powoduje przepełnienie bufora. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-90607Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formNewSchedule w pliku /boafrm/formNewSchedule (komponent boa). Manipulacja argumentem submit-url powoduje przepełnienie bufora. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-90606Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formIpv6Setup w pliku /boafrm/formIpv6Setup (komponent boa). Manipulacja argumentem static_ipv6 prowadzi do przepełnienia bufora. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-90605Krytyczne
W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) zidentyfikowano podatność przepełnienia bufora w funkcji formFilter w pliku /boafrm/formFilter (komponent boa). Manipulacja argumentem ip6addr prowadzi do przepełnienia bufora. Atak można wykonać zdalnie, a exploit został publicznie udostępniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in Totolink A3002MU Hh-B20211125.1046. Affected is the function formWlEncrypt of the file /boafrm/formWlEncrypt. The manipulation of the argument submit-url leads to buffer overflow. It is possible to initiate the attack remotely. The exploit is publicly available and might be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS