CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2018-14558

CVSS 9.8v3.1pub. 2018-10-30upd. 2025-11-07

An issue was discovered on Tenda AC7 devices with firmware through V15.03.06.44_CN(AC7), AC9 devices with firmware through V15.03.05.19(6318)_CN(AC9), and AC10 devices with firmware through V15.03.06.23_CN(AC10). A command Injection vulnerability allows attackers to execute arbitrary OS commands via a crafted goform/setUsbUnload request. This occurs because the "formsetUsbUnload" function executes a dosystemCmd function with untrusted input.

oryginał EN

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Tenda Ac10
HW
Tenda
wszystkie wersje
Tenda Ac10 Firmware
OS
Tenda
≤ 15.03.06.23_cn
Tenda Ac7
HW
Tenda
wszystkie wersje
Tenda Ac7 Firmware
OS
Tenda
≤ 15.03.06.44_cn
Tenda Ac9
HW
Tenda
wszystkie wersje
Tenda Ac9 Firmware
OS
Tenda
≤ 15.03.05.19\(6318\)_cn

CISA KEV — szczegółyi

Dostawcai: Tenda
Produkti: AC7, AC9, and AC10 Routers
Data dodania do KEVi: 3 listopada 2021
Termin remediation (USA)i: 3 maja 2022(po terminie)

🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj aktualizacje zgodnie z instrukcjami producenta.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply updates per vendor instructions.

Opis CISAi

Urządzenia Tenda AC7, AC9 i AC10 zawierają lukę typu command injection wynikającą z tego, że funkcja "formsetUsbUnload" wykonuje funkcję dosystemCmd z niezaufanymi danymi wejściowymi. Pomyślne wykorzystanie luki pozwala atakującemu na wykonanie poleceń systemu operacyjnego poprzez crafted żądanie goform/setUsbUnload.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Tenda AC7, AC9, and AC10 devices contain a command injection vulnerability due to the "formsetUsbUnload" function executes a dosystemCmd function with untrusted input. Successful exploitation allows an attacker to execute OS commands via a crafted goform/setUsbUnload request.

🔴