CVE-2025-12240
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
W TOTOLINK A3300R w funkcji setDmzCfg pliku /cgi-bin/cstecgi.cgi stwierdzono podatność na przepełnienie bufora, spowodowaną manipulacją argumentem ip. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atak może prowadzić do przepełnienia bufora, co może umożliwić wykonanie dowolnego kodu lub spowodować awarię urządzenia, zagrażając bezpieczeństwu sieci.
Rekomendacja
Zaleca się aktualizację oprogramowania urządzenia oraz ograniczenie dostępu do panelu administracyjnego.
Inne podatności w TOTOLINK A3300R
Zobacz wszystkie- CVE-2023-37173Krytyczne
W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 odkryto podatność na wstrzykiwanie poleceń poprzez parametr command w funkcji setTracerouteCfg.
- CVE-2023-37172Krytyczne
W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 odkryto podatność na wstrzykiwanie poleceń poprzez parametr ip w funkcji setDiagnosisCfg.
- CVE-2023-37171Krytyczne
W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 odkryto podatność na wstrzykiwanie poleceń poprzez parametr admuser w funkcji setPasswordCfg.
- CVE-2023-37170Krytyczne
W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 zidentyfikowano podatność na zdalne wykonanie kodu (RCE) bez uwierzytelnienia, wykorzystując parametr lang w funkcji setLanguageCfg.
- CVE-2023-31729Krytyczne
W routerze TOTOLINK A3300R w wersji oprogramowania v17.0.0cu.557 wykryto podatność na wstrzykiwanie poleceń przez interfejs CGI w skrypcie /cgi-bin/cstecgi.cgi. Atakujący może zdalnie wykonać dowolne polecenia systemowe bez autoryzacji.
- CVE-2026-5679Średnie
W urządzeniu Totolink A3300R w wersji 17.0.0cu.557_B20221024 wykryto podatność na wstrzykiwanie komend systemu operacyjnego. Problem dotyczy funkcji vsetTr069Cfg w pliku /cgi-bin/cstecgi.cgi, gdzie atakujący może manipulować argumentem stun_pass. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-55901Średnie
Router TOTOLINK A3300R w wersji V17.0.0cu.596_B20250515 jest podatny na wstrzyknięcie poleceń w funkcji NTPSyncWithHost poprzez parametr host_time. Atakujący może przekazać złośliwe dane w tym parametrze, aby wykonać dowolne polecenia systemowe.
- CVE-2025-12260Wysokie
W TOTOLINK A3300R w funkcji setSyslogCfg pliku /cgi-bin/cstecgi.cgi stwierdzono podatność na przepełnienie bufora oparte na stosie, spowodowane manipulacją argumentem enable. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-12259Wysokie
W TOTOLINK A3300R w funkcji setScheduleCfg pliku /cgi-bin/cstecgi.cgi stwierdzono podatność na przepełnienie bufora oparte na stosie, spowodowane manipulacją argumentem recHour. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2025-12258Wysokie
W TOTOLINK A3300R w funkcji setOpModeCfg pliku /cgi-bin/cstecgi.cg stwierdzono podatność na przepełnienie bufora oparte na stosie, spowodowane manipulacją argumentem opmode. Atak może być przeprowadzony zdalnie.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in TOTOLINK A3300R 17.0.0cu.557_B20221024. This affects the function setDmzCfg of the file /cgi-bin/cstecgi.cgi. The manipulation of the argument ip leads to buffer overflow. It is possible to initiate the attack remotely. The exploit has been disclosed publicly and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS