CVE-2025-41734
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Nieuwierzytelniony zdalny atakujący może wykonywać dowolne pliki PHP i uzyskać pełny dostęp do dotkniętych urządzeń.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad urządzeniem, co prowadzi do całkowitej kompromitacji systemu i danych.
Rekomendacja
Zaleca się natychmiastowe ograniczenie dostępu sieciowego do urządzeń, zastosowanie dostępnych poprawek oraz wdrożenie silnych mechanizmów uwierzytelniania.
Inne podatności w Unknown Device
Zobacz wszystkie- CVE-2025-41732Krytyczne
Nieuwierzytelniony zdalny atakujący może wykorzystać niebezpieczne wywołania sscanf w funkcji check_cookie() do zapisu dowolnych danych do buforów o stałym rozmiarze na stosie, co prowadzi do pełnego przejęcia urządzenia.
- CVE-2025-41730Krytyczne
Nieuwierzytelniony zdalny atakujący może wykorzystać niebezpieczne wywołania sscanf w funkcji check_account() do zapisu dowolnych danych do buforów o stałym rozmiarze na stosie, co prowadzi do pełnego przejęcia urządzenia.
- CVE-2025-41733Krytyczne
Kreator konfiguracji na dotkniętych urządzeniach nie sprawdza, czy urządzenie jest już zainicjalizowane. Nieuwierzytelniony zdalny atakujący może skonstruować żądania POST w celu ustawienia poświadczeń roota.
- CVE-2026-32646Wysokie
Określony endpoint administracyjny jest dostępny bez odpowiedniego uwierzytelnienia, co ujawnia funkcje zarządzania urządzeniem. Brak kontroli dostępu umożliwia nieautoryzowanym użytkownikom dostęp do wrażliwych operacji.
- CVE-2025-41697Średnie
Atakujący może wykorzystać nieudokumentowany port UART na płytce PCB jako kanał boczny, aby uzyskać dostęp root, np. przy użyciu danych uwierzytelniających uzyskanych z CVE-2025-41692.
- CVE-2025-37162Średnie
Podatność w interfejsie wiersza poleceń dotkniętych urządzeń może pozwolić uwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataku polegającego na wstrzyknięciu poleceń. Skuteczne wykorzystanie może pozwolić atakującemu na wykonanie dowolnych poleceń w systemie operacyjnym.
Oryginalny opis (angielski, źródło NVD)
An unauthenticated remote attacker can execute arbitrary php files and gain full access of the affected devices.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS