CVE-2026-24101

Command injection w Tenda AC15 — brak walidacji parametru formSetIptv

CVSS 9.8v3.1pub. 2026-03-02upd. 2026-03-03

W oprogramowaniu routera Tenda AC15 w wersji V15.03.05.18_multi wykryto podatność typu command injection w obsłudze funkcji goform/formSetIptv. Brak walidacji danych wejściowych umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń systemowych.

▸ Pokaż oryginał (EN)

An issue was discovered in goform/formSetIptv in Tenda AC15V1.0 V15.03.05.18_multi. When the condition is met, `s1_1` will be passed into sub_B0488, concatenated into `doSystemCmd`. The value of s1_1 is not validated, potentially leading to a command injection vulnerability.

🤖 Analiza AI

Jak działa

Podatność występuje w funkcji goform/formSetIptv, gdzie parametr `s1_1` przy spełnieniu określonego warunku jest przekazywany do funkcji sub_B0488 i konkatenowany bezpośrednio do ciągu znaków wykonywanego jako polecenie systemowe przez `doSystemCmd`. Ponieważ wartość parametru `s1_1` nie jest w żaden sposób weryfikowana ani sanityzowana, atakujący może wstrzyknąć dowolne polecenia systemowe poprzez spreparowane żądanie sieciowe. Atak nie wymaga uwierzytelnienia ani interakcji po stronie użytkownika.

Skutki

Atakujący uzyskuje możliwość zdalnego wykonania dowolnego kodu (RCE) z uprawnieniami procesu obsługującego żądanie, co może prowadzić do pełnego przejęcia kontroli nad urządzeniem, utraty poufności, integralności i dostępności.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się sprawdzenie strony producenta Tenda pod adresem wskazanym w referencjach oraz ograniczenie dostępu do panelu administracyjnego urządzenia wyłącznie z zaufanych sieci lub adresów IP do czasu wdrożenia poprawki.