PT-2025-18678 · Tenda · Tenda W20E

CVE-2025-44866 · Publicado 2025-05-01 · Atualizado 2025-05-03

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Tenda W20E versão 15.11.0.6

Descrição Uma vulnerabilidade de injeção de comando foi identificada na função formSetDebugCfg através do parâmetro level. Esta vulnerabilidade permite que atacantes executem comandos arbitrários via uma requisição manipulada.

Recomendações Para o Tenda W20E versão 15.11.0.6, considere desativar a função formSetDebugCfg até que um patch esteja disponível para prevenir a exploração via o parâmetro level. Restrinja o acesso a esta função para minimizar o risco de execução de comandos arbitrários. Evite utilizar o parâmetro level no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2025-44866

Produtos afetados

Tenda W20E

Referências · 5

• 🔥 https://github.com/Summermu/VulnForIoT/tree/main/Tenda_W20E/formSetDebugCfg_level/readme.md · Exploit
• https://twitter.com/CVEnew/status/1918568538975113434 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-44866 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-44866 · Aviso do Fabricante
• https://t.me/cvetracker/22849 · Publicação no Telegram