CVE-2026-104611
KrytyczneCVSS 9.1Streszczenie
Wykryto podatność w Tenda AC9 15.03.02.13. Dotyczy nieznanej funkcji w pliku /goform/fast_setting_internet_set komponentu POST Request Handler. Manipulacja argumentem netWanType powoduje przepełnienie bufora na stosie. Atak może być przeprowadzony zdalnie. Exploit jest już publiczny i może być używany.
Ocena ryzyka
Ryzyko obejmuje zdalne wykonanie kodu lub awarię urządzenia, co może prowadzić do przejęcia kontroli nad routerem i naruszenia bezpieczeństwa sieci.
Rekomendacja
Zaleca się natychmiastową aktualizację oprogramowania układowego Tenda AC9 do wersji, która naprawia podatność, oraz ograniczenie dostępu do panelu administracyjnego tylko z zaufanych sieci.
Inne podatności w Tenda AC9
Zobacz wszystkie- CVE-2026-86300Wysokie
W Tenda AC9 w wersji 15.03.05.14 znaleziono błąd dotyczący funkcji R7WebsSecurityHandler w komponencie Web Management. Manipulacja ta powoduje nieprawidłowe uwierzytelnienie. Atak może być inicjowany zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2025-14286Średnie
W Tenda AC9 15.03.05.14_multi wykryto podatność w nieznanej funkcjonalności pliku /cgi-bin/DownloadCfg.jpg komponentu Configuration File Handler. Manipulacja prowadzi do ujawnienia informacji. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-9731Niskie
W urządzeniu Tenda AC9 w wersji 15.03.05.19 w pliku /etc_ro/shadow (komponent Administrative Interface) występują zaszyte na stałe poświadczenia. Atak można przeprowadzić lokalnie, charakteryzuje się wysoką złożonością i jest trudny do wykorzystania. Exploit został publicznie ujawniony i może być użyty.
- CVE-2022-36233Średnie
W routerze Tenda AC9 w wersji oprogramowania V15.03.2.13 odkryto podatność na przepełnienie bufora w procesie httpd. Problem występuje w funkcji form_fast_setting_wifi_set, co może pozwolić atakującemu na zdalne wykonanie kodu.
- CVE-2021-31627Wysokie
W routerach Tenda AC9 w wersjach V1.0 do V15.03.05.19(6318) oraz AC9 V3.0 V15.03.06.42_multi wykryto podatność na przepełnienie bufora. Atakujący może wykorzystać parametr 'index' do wykonania dowolnego kodu.
- CVE-2021-31624Wysokie
W routerach Tenda AC9 w wersjach V1.0 do V15.03.05.19(6318) oraz AC9 V3.0 V15.03.06.42_multi wykryto podatność na przepełnienie bufora. Atakujący może wykorzystać parametr 'urls' do wykonania dowolnego kodu na urządzeniu.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in Tenda AC9 15.03.02.13. Affected is an unknown function of the file /goform/fast_setting_internet_set of the component POST Request Handler. Performing a manipulation of the argument netWanType results in stack-based buffer overflow. The attack is possible to be carried out remotely. The exploit is now public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS