CVE-2024-0991

Tenda i6 versão 1.0.0.9(3857)

Foi identificada uma falha crítica na função formSetCfm do componente httpd, especificamente no arquivo /goform/setcfm. A manipulação do argumento funcpara1 leva a um estouro de buffer baseado em pilha. Essa vulnerabilidade pode ser explorada remotamente, afetando potencialmente a confidencialidade, integridade e disponibilidade das informações protegidas.

Para o Tenda i6 versão 1.0.0.9(3857), como solução temporária, considere desativar a função formSetCfm até que um patch esteja disponível. Restrinja o acesso ao endpoint /goform/setcfm para minimizar o risco de exploração. Evite usar o argumento funcpara1 no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.