CVE-2026-24105

Command injection w Tenda AC15 — brak walidacji parametru w formsetUsbUnload

CVSS 9.8v3.1pub. 2026-03-02upd. 2026-03-06

Podatność typu command injection w oprogramowaniu routera Tenda AC15 pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnych poleceń systemowych. Ze względu na brak wymagania uwierzytelnienia i pełny wpływ na poufność, integralność oraz dostępność, zagrożenie oceniono jako krytyczne (CVSS 9.8).

▸ Pokaż oryginał (EN)

An issue was discovered in goform/formsetUsbUnload in Tenda AC15V1.0 V15.03.05.18_multi. The value of `v1` was not checked, potentially leading to a command injection vulnerability if injected into doSystemCmd.

🤖 Analiza AI

Jak działa

W obsłudze żądań kierowanych do endpointu goform/formsetUsbUnload wartość parametru `v1` nie jest w żaden sposób walidowana ani sanitizowana. Jeśli niezaufane dane z tego parametru zostaną przekazane do funkcji doSystemCmd, atakujący może wstrzyknąć dowolne polecenia systemowe, które zostaną wykonane w kontekście urządzenia. Atak można przeprowadzić zdalnie, bez uwierzytelnienia, przy niskiej złożoności.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem, w tym odczytać i zmodyfikować jego konfigurację, podsłuchiwać ruch sieciowy oraz trwale naruszyć dostępność routera. Możliwe jest również wykorzystanie skompromitowanego urządzenia jako punktu wejścia do sieci lokalnej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.tenda.com.cn/material/show/2710). Do czasu wdrożenia aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego routera wyłącznie do zaufanych hostów w sieci lokalnej oraz zablokowanie dostępu do interfejsu zarządzania od strony WAN.