Zz2266

**Nome do Software Vulnerável e Versões Afetadas** COMFAST CF-XR11 versão V2.7.2 **Descrição** Existe uma vulnerabilidade de injeção de comando na API multi pppoe, processada pela função `sub 423930`. O parâmetro `phy interface` não é sanitizado, permitindo que atacantes injetem comandos arbitrários via uma requisição POST para `/cgi-bin/mbox-config?method=SET&section=multi pppoe`. Especificamente, quando o parâmetro `action` é definido como "one click redial", o `phy interface` não sanitizado é utilizado em uma chamada `system()`, permitindo a execução de comandos maliciosos. Isso pode levar ao acesso não autorizado a arquivos sensíveis, execução de código arbitrário ou comprometimento total do dispositivo. **Recomendações** Como solução temporária, considere desabilitar a API multi pppoe até que um patch esteja disponível. Restrinja o acesso ao endpoint `/cgi-bin/mbox-config` para minimizar o risco de exploração. Evite utilizar o parâmetro `action` com o valor "one click redial" até que o problema seja resolvido.

**Nome do Software Vulnerável e Versões Afetadas** Firmware do roteador Tenda AC6 versão 15.03.05.19 **Descrição** O firmware do roteador Tenda AC6 contém uma vulnerabilidade de injeção de comando na função `formSetIptv`. Esta função gerencia solicitações para a interface web `/goform/SetIPTVCfg`. Os parâmetros `list` e `vlanId` são processados pela função auxiliar `sub ADBC0`, que concatena esses valores em comandos executados por `doSystemCmd` sem a devida validação. Isso permite que um atacante não autenticado ou autenticado execute comandos arbitrários do sistema no dispositivo ao enviar uma solicitação POST manipulada. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.