PT-2025-12694 · H3C · H3C Magic Nx30 Pro+4

Qwen · Publicado 2025-03-24 · Atualizado 2025-04-11 · CVE-2025-2732

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.7

Alta

Vetor base

AV:A/AC:L/Au:S/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas H3C Magic NX15 versões até a V100R014 H3C Magic NX30 Pro versões até a V100R014 H3C Magic NX400 versões até a V100R014 H3C Magic R3010 versões até a V100R014 H3C Magic BE18000 versões até a V100R014

Descrição Uma falha crítica afeta alguma funcionalidade desconhecida do arquivo "/api/wizard/getWifiNeighbour" do componente Manipulador de Solicitação HTTP POST, resultando em injeção de comando. O ataque pode ser executado remotamente. O exploit foi divulgado publicamente e pode ser utilizado. O fabricante foi contatado previamente sobre esta divulgação, mas não respondeu de nenhuma forma.

Recomendações Como solução temporária, considere desativar o endpoint "/api/wizard/getWifiNeighbour" até que uma correção esteja disponível. Restrinja o acesso ao componente Manipulador de Solicitação HTTP POST para minimizar o risco de exploração. Evite usar os produtos afetados da série H3C Magic até que uma correção seja fornecida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Special Elements Injection

Command Injection

Enumeração de Fraquezas

CWE-74

CWE-77

Identificadores relacionados

CVE-2025-2732

Produtos afetados

H3C Magic Be18000

H3C Magic Nx15

H3C Magic Nx30 Pro

H3C Magic Nx400

H3C Magic R3010

Referências · 19

• 🔥 https://github.com/Qwen11/CVE_store/blob/main/H3C/vulnerability%20Information_4.md · Exploit
• https://t.me/cvenotify/116018 · Publicação no Telegram
• https://twitter.com/CCBalert/status/1904563524145160212 · Publicação no Twitter
• https://vuldb.com/?ctiid.300752 · Nota
• https://zhiliao.h3c.com/theme/details/229784 · Nota
• https://twitter.com/vulns_space/status/1904395408132259846 · Publicação no Twitter
• https://t.me/cvenotify/116994 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1904387136385921097 · Publicação no Twitter
• https://twitter.com/cracbot/status/1906300465853464788 · Publicação no Twitter
• https://twitter.com/WolfgangSesin/status/1904169940535365834 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-2732 · Nota de Segurança
• https://t.me/cvetracker/19827 · Publicação no Telegram
• https://vuldb.com/?id.300752 · Nota
• https://t.me/latest_high_impact_cve/2041 · Publicação no Telegram
• https://h3c.com/cn/Service/Document_Software/Software_Download/Consume_product · Correção