Katalog podatności CVE

W urządzeniach TP-Link Archer BE230 v1.2 i Deco BE25 v1.0 występuje podatność na wstrzykiwanie poleceń, która może być wykorzystana po uwierzytelnieniu administratora poprzez import spreparowanego pliku konfiguracyjnego klienta VPN. Sukces w wykorzystaniu tej podatności może umożliwić atakującemu uzyskanie pełnej kontroli administracyjnej nad urządzeniem.

W urządzeniu TP-Link Archer BE230 v1.2 występuje podatność na wstrzykiwanie poleceń, która może być wykorzystana po uwierzytelnieniu administratora za pomocą funkcji przywracania kopii zapasowej konfiguracji. Sukces w wykorzystaniu tej podatności może umożliwić atakującemu uzyskanie pełnej kontroli administracyjnej nad urządzeniem.

W module konfiguracji serwera VPN na urządzeniach TP-Link Archer BE230 v1.2 i Archer AX73 v2 występuje podatność na wstrzykiwanie poleceń, która może być wykorzystana po uwierzytelnieniu administratora. Sukcesywne wykorzystanie tej podatności może umożliwić atakującemu uzyskanie pełnej kontroli administracyjnej nad urządzeniem.

W usłudze połączenia VPN na urządzeniach Archer BE230 v1.2 i Archer AXE75 v1.0 występuje podatność na wstrzykiwanie poleceń, która może być wykorzystana po uwierzytelnieniu administratora. Sukces w wykorzystaniu tej podatności może umożliwić atakującemu uzyskanie pełnej kontroli administracyjnej nad urządzeniem.

W urządzeniu TP-Link Archer BE230 v1.2 występuje podatność na wstrzykiwanie poleceń, która może być wykorzystana po uwierzytelnieniu administratora w interfejsie komunikacji w chmurze. Skuteczne wykorzystanie tej luki może umożliwić atakującemu uzyskanie pełnej kontroli administracyjnej nad urządzeniem.

TP-Link Archer BE230 v1.2 i BE3600 v1 (moduły VPN) zawierają podatność na wstrzyknięcie poleceń systemu operacyjnego, która pozwala sąsiadującemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu. Udane wykorzystanie może dać pełną kontrolę administracyjną nad urządzeniem.

W modułach webowych TP-Link Archer BE230 v1.2 i Archer AXE75 v2 występuje podatność OS Command Injection. Sąsiadujący, uwierzytelniony atakujący może wykonać dowolny kod, co może prowadzić do pełnej kontroli administracyjnej nad urządzeniem.

Podatność na wstrzykiwanie poleceń systemu operacyjnego w routerach TP-Link Archer BE230 v1.2 (moduły VPN) i BE3600 v1 umożliwia uwierzytelnionemu atakującemu z sąsiedztwa wykonanie dowolnego kodu. Udane wykorzystanie może dać pełną kontrolę administracyjną nad urządzeniem, co prowadzi do poważnego naruszenia integralności konfiguracji, bezpieczeństwa sieci i dostępności usług. Problem dotyczy wersji Archer BE230 v1.2 < 1.2.4 Build 20251218 rel.70420.

W funkcji logowania Surfshark VPN w urządzeniach TP-Link Archer BE230 v1.2, BE3600v1 i AXE75 v1 występuje podatność typu OS Command Injection. Uwierzytelniony atakujący z sąsiedniej sieci może wykonać dowolny kod, co może prowadzić do przejęcia pełnej kontroli administracyjnej nad urządzeniem.

Podatność typu OS Command Injection w urządzeniach TP-Link Archer BE230 v1.2 i Archer AXE75 v1.0 pozwala na wykonanie dowolnego kodu przez sąsiedniego, uwierzytelnionego atakującego. Sukces w wykorzystaniu tej luki może prowadzić do pełnej kontroli administracyjnej nad urządzeniem, co poważnie zagraża integralności konfiguracji, bezpieczeństwu sieci oraz dostępności usług.

Podatność CVE-2025-47399 dotyczy uszkodzenia pamięci podczas przetwarzania wywołania IOCTL, które aktualizuje ustawienia właściwości czujnika z nieprawidłowymi parametrami wejściowymi. Może to prowadzić do nieprzewidzianego zachowania systemu.

Podatność CVE-2025-47398 dotyczy uszkodzenia pamięci podczas zwalniania buforów pamięci procesora graficznego z powodu niewłaściwego zarządzania wskaźnikami pamięci. Może to prowadzić do nieprzewidzianych zachowań aplikacji lub systemu.

Podatność CVE-2025-47397 dotyczy uszkodzenia pamięci podczas inicjowania mapowania pamięci GPU przy użyciu list scatter-gather, spowodowanego niekontrolowanymi błędami mapowania IOMMU.

Problem kryptograficzny występuje, gdy Zaufana Strefa z przestarzałym kodem jest aktywowana przez HLOS dostarczający nieprawidłowe dane wejściowe.

Podatność CVE-2025-47359 dotyczy uszkodzenia pamięci, które występuje, gdy wiele wątków jednocześnie uzyskuje dostęp do interfejsu API zwalniania pamięci. Może to prowadzić do nieprzewidywalnego zachowania aplikacji.

Podatność CVE-2025-47358 dotyczy uszkodzenia pamięci, które występuje, gdy adres przestrzeni użytkownika jest modyfikowany i przekazywany do API mem_free, co prowadzi do niezamierzonego zwolnienia pamięci jądra.

IBM WebSphere Application Server Liberty w wersjach od 17.0.0.3 do 26.0.0.1 może umożliwić uprzywilejowanemu użytkownikowi przesłanie archiwum zip zawierającego sekwencje przejścia ścieżki, co prowadzi do nadpisania plików i potencjalnego wykonania dowolnego kodu.

Podatność CVE-2022-50981 pozwala nieautoryzowanemu zdalnemu atakującemu na uzyskanie pełnego dostępu do dotkniętych urządzeń, które są dostarczane bez domyślnego hasła, a jego ustawienie nie jest wymuszane.

Podatność CVE-2022-50978 pozwala nieautoryzowanemu zdalnemu atakującemu na zakłócenie operacji poprzez przełączanie się między różnymi presetami konfiguracji za pomocą Modbus (TCP).

Podatność CVE-2022-50977 pozwala nieautoryzowanemu zdalnemu atakującemu na zakłócenie operacji poprzez przełączanie się między różnymi presetami konfiguracji za pomocą protokołu HTTP.