PT-2025-38482 · Comfast · Cf-Xr11

Zz2266 · Publicado 2025-09-18 · Atualizado 2025-09-19 · CVE-2025-57293

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas COMFAST CF-XR11 versão V2.7.2

Descrição Existe uma vulnerabilidade de injeção de comando na API multi pppoe, processada pela função sub 423930. O parâmetro phy interface não é sanitizado, permitindo que atacantes injetem comandos arbitrários via uma requisição POST para /cgi-bin/mbox-config?method=SET&section=multi pppoe. Especificamente, quando o parâmetro action é definido como "one click redial", o phy interface não sanitizado é utilizado em uma chamada system(), permitindo a execução de comandos maliciosos. Isso pode levar ao acesso não autorizado a arquivos sensíveis, execução de código arbitrário ou comprometimento total do dispositivo.

Recomendações Como solução temporária, considere desabilitar a API multi pppoe até que um patch esteja disponível. Restrinja o acesso ao endpoint /cgi-bin/mbox-config para minimizar o risco de exploração. Evite utilizar o parâmetro action com o valor "one click redial" até que o problema seja resolvido.

Exploit

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2025-57293

Produtos afetados

Cf-Xr11

Referências · 7

• 🔥 https://github.com/ZZ2266/.github.io/blob/main/comfast/multi_pppoe.markdown · Exploit
• https://t.me/cveNotify/135957 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1969110924222218578 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-57293 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1968946223651389828 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-57293 · Nota de Segurança
• https://t.me/CVEtracker/32881 · Publicação no Telegram