CVE-2025-51452

TOTOLINK A7000R – bypass uwierzytelnienia przez formLoginAuth.htm

CVSS 9.8v3.1pub. 2025-08-13upd. 2026-07-05

Podatność w firmware TOTOLINK A7000R pozwala atakującemu na ominięcie mechanizmu logowania bez podawania poprawnych danych uwierzytelniających. Ze względu na brak wymaganego uwierzytelnienia i sieciowy wektor ataku, podatność jest krytyczna i może prowadzić do pełnego przejęcia urządzenia.

▸ Pokaż oryginał (EN)

In TOTOLINK A7000R firmware 9.1.0u.6115_B20201022, an attacker can bypass login by sending a specific request through formLoginAuth.htm.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane żądanie HTTP do endpointu formLoginAuth.htm, co skutkuje obejściem procedury weryfikacji tożsamości użytkownika (CWE-288: Authentication Bypass Using an Alternate Path or Channel). Atak nie wymaga żadnych uprawnień ani interakcji ze strony użytkownika i może być przeprowadzony zdalnie przez sieć. Mechanizm uwierzytelnienia w firmware w wersji 9.1.0u.6115_B20201022 nie waliduje poprawnie żądań kierowanych do tego zasobu.

Skutki

Atakujący uzyskuje nieautoryzowany dostęp do interfejsu administracyjnego routera, co umożliwia mu pełną kontrolę nad urządzeniem — w tym zmianę konfiguracji sieci, przechwycenie ruchu sieciowego oraz potencjalne użycie routera jako punktu wejścia do sieci wewnętrznej. Wskaźniki CVSS wskazują na wysoki wpływ na poufność, integralność i dostępność systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się sprawdzenie dostępności zaktualizowanego firmware na stronie producenta TOTOLINK. Do czasu aktualizacji należy ograniczyć dostęp do interfejsu administracyjnego routera wyłącznie do zaufanych hostów oraz wyłączyć ekspozycję panelu administracyjnego na interfejsie WAN.

Kogo dotyczy

TOTOLINK A7000R z firmware w wersji 9.1.0u.6115_B20201022

Uwagi

Publicznie dostępny proof-of-concept (PoC) znajduje się w referencjach pod adresem gist.github.com, co zwiększa ryzyko wykorzystania podatności przez niewyspecjalizowanych atakujących.