PT-2025-25404 · Blink · Bl-Ac2100 Az3+8

CVE-2025-45984 · Publicado 2025-06-13 · Atualizado 2025-07-10

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Roteadores Blink BL-WR9000 versão 2.4.9 Roteadores Blink BL-AC1900 versão 1.0.2 Roteadores Blink BL-AC2100 AZ3 versão 1.0.4 Roteadores Blink BL-X10 AC8 versão 1.0.5 Roteadores Blink BL-LTE300 versão 1.2.3 Roteadores Blink BL-F1200 AT1 versão 1.0.0 Roteadores Blink BL-X26 AC8 versão 1.2.8 Roteadores Blink BLAC450M AE4 versão 4.0.0 Roteadores Blink BL-X26 DA3 versão 1.2.7

Descrição O problema está relacionado a uma vulnerabilidade de injeção de comando. Esta vulnerabilidade ocorre através do parâmetro routepwd na função sub 45B238.

Recomendações Para o BL-WR9000 versão 2.4.9, considere desativar a função sub 45B238 até que um patch esteja disponível. Para o BL-AC1900 versão 1.0.2, restrinja o acesso ao parâmetro routepwd na função afetada para minimizar o risco de exploração. Para o BL-AC2100 AZ3 versão 1.0.4, evite usar o parâmetro routepwd na função sub 45B238 até que o problema seja resolvido. Para o BL-X10 AC8 versão 1.0.5, desative temporariamente a função sub 45B238 para prevenir potencial exploração. Para o BL-LTE300 versão 1.2.3, restrinja o uso do parâmetro routepwd apenas ao pessoal autorizado. Para o BL-F1200 AT1 versão 1.0.0, considere aplicar alterações de configuração para limitar o impacto da vulnerabilidade. Para o BL-X26 AC8 versão 1.2.8, desative a função sub 45B238 como uma medida temporária. Para o BLAC450M AE4 versão 4.0.0, evite usar a função afetada até que uma correção esteja disponível. Para o BL-X26 DA3 versão 1.2.7, restrinja o acesso ao parâmetro vulnerável para minimizar o risco de exploração.

Exploit

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2025-45984

Produtos afetados

Bl-Ac1900

Bl-Ac2100 Az3

Bl-F1200 At1

Bl-Lte300

Bl-Wr9000

Bl-X10 Ac8

Bl-X26 Ac8

Bl-X26 Da3

Blac450M Ae4

Referências · 10

• 🔥 https://github.com/glkfc/IoT-Vulnerability/blob/main/LB-LINK/LB-LINK_routepwd%20Indicates%20the%20unauthorized%20command%20injection/LB-LINK_routepwd%20command%20injection.md · Exploit
• https://twitter.com/VulmonFeeds/status/1933511404746596620 · Publicação no Twitter
• https://t.me/cvenotify/128320 · Publicação no Telegram
• https://t.me/cvenotify/125604 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-45984 · Aviso do Fabricante
• https://t.me/cvenotify/125646 · Publicação no Telegram
• https://t.me/latest_high_impact_cve/2647 · Publicação no Telegram
• https://twitter.com/SecAideInfo/status/1934555858454659406 · Publicação no Twitter
• https://t.me/cvetracker/26179 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-45984 · Nota de Segurança