CVE-2020-25206

**Nome do software vulnerável e versões afetadas:

Versões de firmware Mimosa B5, B5c e C5x até a versão 2.8.0.2

Descrição:

O console web do firmware afetado permite a injeção de comandos autenticados nas classes de API Throughput, WANStats, PhyStats e QosStats. Um invasor com acesso a uma conta do console web pode executar comandos do sistema operacional nos dispositivos afetados enviando solicitações POST maliciosas para os endpoints afetados, tais como “/core/api/calls/Throughput.php”, “/core/api/calls/WANStats.php”, “/core/api/calls/PhyStats.php” e “/core/api/calls/QosStats.php” . Isso resulta na tomada de controle total do dispositivo vulnerável.

Recomendações:

Para as versões de firmware Mimosa B5, B5c e C5x até a 2.8.0.2, considere desativar o acesso aos endpoints de API afetados até que um patch esteja disponível. Restrinja o acesso às classes de API Throughput, WANStats, PhyStats e QosStats para minimizar o risco de exploração. Evite usar a conta do console web até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.