CVE-2025-45343
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W routerze Tenda W18E w wersji 2.0 z oprogramowaniem 16.01.0.11 wykryto podatność umożliwiającą zdalne wykonanie dowolnego kodu. Luka znajduje się w funkcji edycji konta w module goform/setmodules.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad urządzeniem, co prowadzi do naruszenia poufności i integralności sieci oraz potencjalnego wykorzystania routera jako punktu wejścia do dalszych ataków.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie routera Tenda W18E do najnowszej dostępnej wersji. Jeśli aktualizacja nie jest dostępna, należy ograniczyć dostęp do panelu administracyjnego tylko do zaufanych adresów IP.
Inne podatności w Tenda W18E
Zobacz wszystkie- CVE-2026-118238Wysokie
Serwer zarządzania WWW urządzenia Tenda W18E jest podatny na wstrzyknięcie poleceń systemu operacyjnego poprzez funkcję przechwytywania pakietów "diagnose" z powodu niewłaściwej walidacji pól JSON. Uwierzytelniony użytkownik może wstrzyknąć metaznaki powłoki do pól protocol lub targetDevice, które są następnie łączone w polecenie tcpdump i wykonywane z uprawnieniami roota. Podatność można wykorzystać bez uwierzytelnienia, jeśli urządzenie jest w stanie przywrócenia ustawień fabrycznych.
- CVE-2025-29217Średnie
W urządzeniu Tenda W18E v2.0 z oprogramowaniem v16.01.0.11 odkryto podatność na przepełnienie stosu w parametrze wifiSSID w endpointcie /goform/setModules. Atakujący może wysłać spreparowane żądanie POST, powodując odmowę usługi (DoS).
Oryginalny opis (angielski, źródło NVD)
An issue in Tenda W18E v.2.0 v.16.01.0.11 allows an attacker to execute arbitrary code via the editing functionality of the account module in the goform/setmodules route.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS