PT-2025-18658 · Totolink · Totolink Ca600-Poe

CVE-2025-44848 · Publicado 2025-04-03 · Atualizado 2025-05-03

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas TOTOLINK CA600-PoE versão 5.3c.6665 B20180820

Descrição O problema está relacionado a uma vulnerabilidade de injeção de comandos na função msg process via o parâmetro Url. Isso permite que atacantes executem comandos arbitrários ao elaborar uma requisição específica. Não há informações fornecidas sobre o número estimado de dispositivos potencialmente afetados ou incidentes reais nos quais esta vulnerabilidade foi explorada.

Recomendações Para o TOTOLINK CA600-PoE versão 5.3c.6665 B20180820, considere restringir o acesso à função msg process ou evitar o uso do parâmetro Url até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

BDU:2025-06170

CVE-2025-44848

Produtos afetados

Totolink Ca600-Poe

Referências · 9

• 🔥 https://github.com/Summermu/VulnForIoT/tree/main/Totolink_CA600-PoE/msg_process_Url/readme.md · Exploit
• https://github.com/Summermu/VulnForIoT/blob/main/Totolink_CA600-PoE/msg_process_Url/readme.md · Nota
• https://t.me/cvenotify/120674 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-44848 · Nota de Segurança
• https://t.me/cvedetector/24253 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1918568532012613662 · Publicação no Twitter
• https://t.me/cvenotify/120545 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-44848 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2025-06170 · Nota de Segurança