PT-2022-27541 · Tenda · Tenda W6-S

CVE-2022-45497

·

Publicado

2022-12-08

·

Atualizado

2023-08-08

CVSS v3.1

9.8

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Tenda W6-S versão 1.0.0.4(510)
Descrição
Foi detectada uma vulnerabilidade de injeção de comando na função tpi get ping output no ponto de extremidade da API “/goform/exeCommand”.
Recomendações
Para o Tenda W6-S versão 1.0.0.4(510), considere desativar a função tpi get ping output como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao endpoint da API “/goform/exeCommand” para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

OS Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2022-45497

Produtos afetados

Tenda W6-S