PT-2025-18699 · Tenda · Tenda Rx2 Pro

CVE-2025-46625 · Publicado 2025-05-01 · Atualizado 2025-05-27

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas Tenda RX2 Pro versão 16.03.30.14

Descrição O problema está relacionado à falta de validação/sanitização de entrada no endpoint da API setLanCfg no httpd, permitindo que um atacante remoto autorizado no portal de gerenciamento web obtenha acesso ao shell de root no dispositivo ao enviar uma requisição web manipulada. Este é um problema persistente porque a injeção de comando é salva na configuração do dispositivo.

Recomendações Para o Tenda RX2 Pro versão 16.03.30.14, como solução temporária, considere desabilitar o endpoint da API setLanCfg até que uma correção esteja disponível. Restrinja o acesso ao portal de gerenciamento web para minimizar o risco de exploração. Evite usar o endpoint setLanCfg na API afetada até que o problema seja resolvido.

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

BDU:2025-05628

CVE-2025-46625

Produtos afetados

Tenda Rx2 Pro

Referências · 10

• https://tendacn.com/us/default.html · Nota
• https://osv.dev/vulnerability/CVE-2025-46625 · Aviso do Fabricante
• https://blog.uturn.dev/#/writeups/iot-village/tenda-rx2pro/README?id=cve-2025-46625-command-injection-through-setlancfg-in-httpd · Nota
• https://twitter.com/dailycve/status/1927411909046796485 · Publicação no Twitter
• https://t.me/cvedetector/24268 · Publicação no Telegram
• https://t.me/cvetracker/22861 · Publicação no Telegram
• https://twitter.com/cybercronai/status/1918429201448722713 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1918745363751535006 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-46625 · Nota de Segurança
• https://bdu.fstec.ru/vul/2025-05628 · Nota de Segurança