Podatności TOTOLINK X2000R

31 znanych podatności CVE w TOTOLINK X2000R, przetłumaczonych i ocenionych.

CVE-2026-9869Krytyczne
Przepełnienie bufora na stosie w funkcji boa formTR069Config urządzenia X2000R (TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327). Specjalnie spreparowane żądanie HTTP może prowadzić do wykonania dowolnego kodu; wymagane jest uwierzytelnienie.
CVE-2026-9827Krytyczne
Podatność umożliwiająca dowolny zapis plików w funkcji boa formUploadFile urządzenia X2000R (TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327). Specjalnie spreparowane żądanie HTTP może prowadzić do wykonania dowolnego kodu; wymagane jest uwierzytelnienie.
CVE-2026-9817Krytyczne
Przepełnienie bufora na stosie w funkcji boa formUploadFile urządzenia X2000R (TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327). Specjalnie spreparowane żądanie HTTP może prowadzić do wykonania dowolnego kodu; wymagane jest uwierzytelnienie.
CVE-2026-9814Krytyczne
Wstrzyknięcie polecenia systemowego w funkcji boa formWizard newPass urządzenia X2000R (TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327). Specjalnie spreparowane żądanie HTTP może prowadzić do wykonania dowolnego kodu; wymagane jest uwierzytelnienie.
CVE-2026-9660Krytyczne
Wiele wykorzystywalnych przepełnień bufora na stosie w funkcji boa formFilter urządzenia X2000R (TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327), dotyczących parametru vpnPassword. Specjalnie spreparowane żądanie HTTP może prowadzić do wykonania dowolnego kodu; wymagane jest uwierzytelnienie.
CVE-2026-9659Krytyczne
Wiele wykorzystywalnych przepełnień bufora na stosie w funkcji boa formFilter urządzenia X2000R (TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327), dotyczących parametru vpnUser. Specjalnie spreparowane żądanie HTTP może prowadzić do wykonania dowolnego kodu; wymagane jest uwierzytelnienie.
CVE-2026-42026Krytyczne
W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formIpv6Setup występuje przepełnienie bufora na stosie w parametrze dhcp_dns2. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.
CVE-2026-42025Krytyczne
W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formIpv6Setup występuje przepełnienie bufora na stosie w parametrze dhcp_dns1. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.
CVE-2026-42024Krytyczne
W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formIpv6Setup konfiguracji sieci statycznej występuje przepełnienie bufora na stosie w parametrze static_gw. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.
CVE-2026-42023Krytyczne
W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formIpv6Setup konfiguracji sieci statycznej występuje przepełnienie bufora na stosie w parametrze static_ipv6. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.
CVE-2026-42022Krytyczne
W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formIpv6Setup konfiguracji sieci statycznej występuje przepełnienie bufora na stosie w parametrze static_dns2. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.
CVE-2026-42021Krytyczne
W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formIpv6Setup konfiguracji sieci statycznej występuje przepełnienie bufora na stosie w parametrze static_dns1. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.
CVE-2026-42020Krytyczne
W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formIpv6Setup pppoe występuje przepełnienie bufora na stosie w parametrze pppoe_dns2. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.
CVE-2026-42019Krytyczne
W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formIpv6Setup pppoe występuje przepełnienie bufora na stosie w parametrze pppoe_dns1. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.
CVE-2026-41223Krytyczne
W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formMapDelDevice występuje przepełnienie bufora na stosie w parametrze macstr. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.
CVE-2026-41222Krytyczne
W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formParentControl występuje przepełnienie bufora na stosie w parametrze url. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.
CVE-2026-40627Krytyczne
W urządzeniu Totolink X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje podatność na wstrzyknięcie poleceń systemu operacyjnego w funkcji formWsc (parametr targetAPSsid) serwera boa. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
CVE-2026-40615Krytyczne
W urządzeniu X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje przepełnienie bufora na stosie w funkcji formParentControl (parametr deviceName) serwera boa. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
CVE-2026-35499Krytyczne
W urządzeniu Totolink X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje podatność na wstrzyknięcie poleceń systemu operacyjnego w funkcji formWsc (parametr peerRptPin) serwera boa. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
CVE-2026-33568Krytyczne
W urządzeniu X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje podatność na wstrzyknięcie poleceń systemu operacyjnego w funkcji formMapDelDevice (parametr macstr) serwera boa. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
CVE-2026-28763Krytyczne
W urządzeniu X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje przepełnienie bufora na stosie w funkcji formMapDelDevice (parametr hostname) serwera boa. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
CVE-2026-10141Krytyczne
W urządzeniu X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje podatność polegająca na braku weryfikacji podpisu firmware w funkcji aktualizacji oprogramowania serwera boa. Specjalnie spreparowany plik firmware może doprowadzić do aktualizacji dowolnym oprogramowaniem. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
CVE-2026-10139Krytyczne
W urządzeniu X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje przepełnienie bufora na stosie w funkcji Mcli. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
CVE-2026-10138Krytyczne
W urządzeniu X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje podatność na wstrzyknięcie poleceń systemu operacyjnego w funkcji formUpload() serwera boa. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
CVE-2026-10137Krytyczne
W urządzeniu X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje przepełnienie bufora na stosie w funkcji formUpload() serwera boa. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
CVE-2026-10136Krytyczne
W funkcji formUpload() interfejsu boa urządzenia X2000R (TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje przepełnienie bufora na stercie. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać tę podatność uwierzytelnionym żądaniem HTTP.
CVE-2026-10135Krytyczne
W funkcji batchupg urządzenia X2000R (TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje wstrzyknięcie poleceń systemu operacyjnego. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać tę podatność uwierzytelnionym żądaniem HTTP.
CVE-2026-10133Krytyczne
W funkcji batchupg urządzenia X2000R (TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje przepełnienie bufora na stosie. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać tę podatność uwierzytelnionym żądaniem HTTP.
CVE-2026-10132Krytyczne
W funkcji boa formIpQos mac urządzenia X2000R (TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje przepełnienie bufora na stosie. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać tę podatność uwierzytelnionym żądaniem HTTP.
CVE-2026-10131Krytyczne
W funkcji boa formPasswordSetup urządzenia X2000R (TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje wstrzyknięcie poleceń systemu operacyjnego. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać tę podatność uwierzytelnionym żądaniem HTTP.
CVE-2025-9577Niskie
W TOTOLINK X2000R do wersji 2.0.0 stwierdzono lukę w komponencie Administrative Interface, gdzie manipulacja plikiem /etc/shadow.sample prowadzi do użycia domyślnych poświadczeń. Atak wymaga dostępu lokalnego i jest trudny do przeprowadzenia. Exploit został opublikowany i może być wykorzystany.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS