CVE-2025-70161
KrytyczneStreszczenie
Router EDIMAX BR-6208AC w wersji V2_1.02 jest podatny na wstrzykiwanie poleceń. Pole pppUserName jest przekazywane bezpośrednio do funkcji system() bez odpowiedniej sanityzacji, co pozwala atakującemu na wykonanie dowolnego kodu.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia na routerze, co może prowadzić do przejęcia kontroli nad urządzeniem, przechwycenia ruchu sieciowego lub dalszych ataków w sieci.
Rekomendacja
Zaleca się aktualizację firmware routera do najnowszej dostępnej wersji. Jeśli nie jest dostępna, należy ograniczyć dostęp do panelu administracyjnego i zmienić domyślne hasła.
Inne podatności w EDIMAX BR-6208AC
Zobacz wszystkie- CVE-2026-108918Krytyczne
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto lukę w nieznanej funkcji pliku /goform/formWlanMP. Manipulacja argumentem readE2P prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być wykorzystany.
- CVE-2026-108917Krytyczne
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto lukę w nieznanym fragmencie pliku /goform/formAutoFWupgrade. Manipulacja argumentem tftpsIP prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-108915Krytyczne
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto lukę w nieznanej części pliku /goform/formWlanMP. Manipulacja argumentem ateBW prowadzi do przepełnienia bufora. Atak można przeprowadzić zdalnie, a exploit został ujawniony publicznie i może być wykorzystany.
- CVE-2026-108914Krytyczne
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność w nieznanej funkcji pliku '/goform/formWlSiteSurvey'. Manipulacja argumentem 'ifname' powoduje przepełnienie bufora, które można wykorzystać zdalnie. Exploit został publicznie ujawniony i może być użyty; producent nie odpowiedział na zgłoszenie, a produkt nie jest już wspierany.
- CVE-2026-116227Niskie
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność w nieznanym kodzie komponentu Virtual Server Page. Manipulacja prowadzi do cross site scripting. Zdalne wykorzystanie ataku jest możliwe, a exploit został publicznie ujawniony.
- CVE-2026-108936Niskie
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność XSS w nieznanej części pliku /goform/formQoS (strona QoS). Manipulacja danymi prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-108935Niskie
W urządzeniu Edimax BR-6208AC w wersji 1.32 zidentyfikowano słabość w nieznanej funkcji pliku /goform/formPortFw (strona przekierowania portów). Manipulacja prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-108934Niskie
W urządzeniu Edimax BR-6208AC w wersji 1.32 odkryto podatność w nieznanej funkcji pliku /goform/formUrlb (strona blokowania HTTP). Manipulacja prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-108933Niskie
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność w nieznanej funkcji pliku /goform/formFilter. Manipulacja prowadzi do podatności na cross site scripting. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-108916Wysokie
Podatność w routerze Edimax BR-6208AC w wersji 1.32 dotyczy nieznanego kodu w pliku /goform/formAccept. Manipulacja argumentem submit-url prowadzi do wstrzyknięcia komend (command injection). Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie, a produkt nie jest już wspierany.
Oryginalny opis (angielski, źródło NVD)
EDIMAX BR-6208AC V2_1.02 is vulnerable to Command Injection. This arises because the pppUserName field is directly passed to a shell command via the system() function without proper sanitization. An attacker can exploit this by injecting malicious commands into the pppUserName field, allowing arbitrary code execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS