PT-2025-14901 · Totolink · Totolink X6000R

Fjl1113 · Publicado 2025-03-26 · Atualizado 2026-03-27 · CVE-2025-3249

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas TOTOLINK A6000R versão 1.0.1-B20201211.2000

Descrição Uma falha crítica foi encontrada na função apcli cancel wps do arquivo /usr/lib/lua/luci/controller/mtkwifi.lua. Esta falha resulta em injeção de comando e pode ser explorada remotamente.

Recomendações Para o TOTOLINK A6000R versão 1.0.1-B20201211.2000, como medida paliativa temporária, considere desativar a função apcli cancel wps até que um patch esteja disponível. Restrinja o acesso ao arquivo /usr/lib/lua/luci/controller/mtkwifi.lua para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Special Elements Injection

Command Injection

Enumeração de Fraquezas

CWE-74

CWE-77

Identificadores relacionados

BDU:2025-04084

CVE-2025-3249

Produtos afetados

Totolink X6000R

Referências · 13

• 🔥 https://github.com/fjl1113/cve/blob/main/totolink.md · Exploit
• https://vuldb.com/?ctiid.303319 · Nota
• https://bdu.fstec.ru/vul/2025-04084 · Nota de Segurança
• https://t.me/cvetracker/20838 · Publicação no Telegram
• https://twitter.com/dailycve/status/2037327063422492840 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-3249 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1908438477512843423 · Publicação no Twitter
• https://vuldb.com/?submit.543214 · Nota
• https://feedly.com/cve/CVE-2025-3249 · Nota
• https://totolink.net · Nota
• https://t.me/cvedetector/22132 · Publicação no Telegram
• https://vuldb.com/?id.303319 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-3249 · Nota de Segurança