CVE-2025-12239
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
W TOTOLINK A3300R w funkcji setDdnsCfg pliku /cgi-bin/cstecgi.cgi stwierdzono podatność na przepełnienie bufora. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.
Ocena ryzyka
Zdalny atak może umożliwić wykonanie dowolnego kodu lub spowodować awarię urządzenia, co może naruszyć bezpieczeństwo sieci.
Rekomendacja
Zaleca się aktualizację oprogramowania urządzenia oraz ograniczenie dostępu do panelu administracyjnego.
Inne podatności w TOTOLINK A3300R
Zobacz wszystkie- CVE-2023-37173Krytyczne
W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 odkryto podatność na wstrzykiwanie poleceń poprzez parametr command w funkcji setTracerouteCfg.
- CVE-2023-37172Krytyczne
W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 odkryto podatność na wstrzykiwanie poleceń poprzez parametr ip w funkcji setDiagnosisCfg.
- CVE-2023-37171Krytyczne
W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 odkryto podatność na wstrzykiwanie poleceń poprzez parametr admuser w funkcji setPasswordCfg.
- CVE-2023-37170Krytyczne
W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 zidentyfikowano podatność na zdalne wykonanie kodu (RCE) bez uwierzytelnienia, wykorzystując parametr lang w funkcji setLanguageCfg.
- CVE-2023-31729Krytyczne
W routerze TOTOLINK A3300R w wersji oprogramowania v17.0.0cu.557 wykryto podatność na wstrzykiwanie poleceń przez interfejs CGI w skrypcie /cgi-bin/cstecgi.cgi. Atakujący może zdalnie wykonać dowolne polecenia systemowe bez autoryzacji.
- CVE-2026-5679Średnie
W urządzeniu Totolink A3300R w wersji 17.0.0cu.557_B20221024 wykryto podatność na wstrzykiwanie komend systemu operacyjnego. Problem dotyczy funkcji vsetTr069Cfg w pliku /cgi-bin/cstecgi.cgi, gdzie atakujący może manipulować argumentem stun_pass. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-55901Średnie
Router TOTOLINK A3300R w wersji V17.0.0cu.596_B20250515 jest podatny na wstrzyknięcie poleceń w funkcji NTPSyncWithHost poprzez parametr host_time. Atakujący może przekazać złośliwe dane w tym parametrze, aby wykonać dowolne polecenia systemowe.
- CVE-2025-12260Wysokie
W TOTOLINK A3300R w funkcji setSyslogCfg pliku /cgi-bin/cstecgi.cgi stwierdzono podatność na przepełnienie bufora oparte na stosie, spowodowane manipulacją argumentem enable. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-12259Wysokie
W TOTOLINK A3300R w funkcji setScheduleCfg pliku /cgi-bin/cstecgi.cgi stwierdzono podatność na przepełnienie bufora oparte na stosie, spowodowane manipulacją argumentem recHour. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2025-12258Wysokie
W TOTOLINK A3300R w funkcji setOpModeCfg pliku /cgi-bin/cstecgi.cg stwierdzono podatność na przepełnienie bufora oparte na stosie, spowodowane manipulacją argumentem opmode. Atak może być przeprowadzony zdalnie.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in TOTOLINK A3300R 17.0.0cu.557_B20221024. The impacted element is the function setDdnsCfg of the file /cgi-bin/cstecgi.cgi. Executing manipulation can lead to buffer overflow. The attack may be performed from remote. The exploit has been made available to the public and could be exploited.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS