CVE-2026-24436

Brak ograniczenia prób logowania w Tenda W30E — atak brute-force

CVSS 9.2v4.0pub. 2026-01-26upd. 2026-01-28

Oprogramowanie routera Tenda W30E V2 nie implementuje mechanizmów ograniczania liczby prób logowania ani blokowania konta po nieudanych próbach uwierzytelnienia. Umożliwia to atakującemu przeprowadzenie nieograniczonego ataku brute-force na dane uwierzytelniające panelu administracyjnego.

▸ Pokaż oryginał (EN)

Shenzhen Tenda W30E V2 firmware versions up to and including V16.01.0.19(5037) do not enforce rate limiting or account lockout mechanisms on authentication endpoints. This allows attackers to perform unrestricted brute-force attempts against administrative credentials.

🤖 Analiza AI

Jak działa

Podatność wynika z braku mechanizmów rate limiting oraz account lockout na punktach końcowych uwierzytelniania (CWE-307 — Improper Restriction of Excessive Authentication Attempts). Atakujący może bez żadnych ograniczeń wysyłać kolejne żądania logowania, testując różne kombinacje haseł. Brak opóźnień, blokad konta lub weryfikacji CAPTCHA sprawia, że automatyczne narzędzia do łamania haseł mogą działać z pełną prędkością sieci.

Skutki

Skuteczny atak brute-force pozwala atakującemu przejąć pełną kontrolę administracyjną nad urządzeniem, co umożliwia zmianę konfiguracji sieci, przechwytywanie ruchu sieciowego lub wykorzystanie routera jako punktu wejścia do sieci wewnętrznej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako tymczasowe obejście zaleca się ograniczenie dostępu do panelu administracyjnego wyłącznie do zaufanych adresów IP oraz zmianę domyślnych danych uwierzytelniających na silne, unikalne hasło.

Kogo dotyczy

Tenda W30E V2 — wersje firmware do V16.01.0.19(5037) włącznie

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X