CVE-2025-51390

Command injection w TOTOLINK N600R via parametr pin (WPS)

CVSS 9.8v3.1pub. 2025-08-04upd. 2026-07-05

Router TOTOLINK N600R w wersji V4.3.0cu.7647_B20210106 zawiera podatność typu command injection w funkcji setWiFiWpsConfig. Umożliwia ona zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń systemowych na urządzeniu.

▸ Pokaż oryginał (EN)

TOTOLINK N600R V4.3.0cu.7647_B20210106 was discovered to contain a command injection vulnerability via the pin parameter in the setWiFiWpsConfig function.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji danych wejściowych parametru 'pin' przekazywanego do funkcji setWiFiWpsConfig w oprogramowaniu routera. Atakujący może dostarczyć spreparowaną wartość parametru zawierającą złośliwe polecenia systemowe, które zostaną wykonane bezpośrednio przez interpreter poleceń urządzenia. Atak nie wymaga uwierzytelnienia ani interakcji użytkownika, a jego przeprowadzenie możliwe jest zdalnie przez sieć.

Skutki

Atakujący uzyskuje możliwość wykonania dowolnych poleceń z uprawnieniami systemu operacyjnego routera, co może skutkować pełnym przejęciem kontroli nad urządzeniem, ujawnieniem poufnych danych, modyfikacją konfiguracji sieci lub wykorzystaniem routera jako punktu wejścia do dalszych ataków na sieć wewnętrzną.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. W przypadku braku aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzania urządzenia wyłącznie do zaufanych adresów IP oraz wyłączenie funkcji WPS jeśli nie jest wymagana.

Kogo dotyczy

TOTOLINK N600R w wersji firmware V4.3.0cu.7647_B20210106

Uwagi

Publiczny opis techniczny podatności wraz z dowodem koncepcji (proof-of-concept) dostępny jest w repozytorium GitHub użytkownika Luanruy (qianxin). Podatność została opublikowana 2025-08-04.