PT-2025-40255 · Totolink · Totolink X18

Ilovekeer · Publicado 2025-10-01 · Atualizado 2025-10-26 · CVE-2025-61045

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas TOTOLINK X18 versão V9.1.0cu.2053 B20230309

Descrição A função setEasyMeshAgentCfg no firmware do roteador TOTOLINK X18 não sanitiza adequadamente os dados no nível de gerenciamento ao processar o parâmetro mac. Isso pode permitir que um atacante remoto execute comandos arbitrários. A vulnerabilidade está relacionada a um problema de injeção de comando através do parâmetro mac dentro da função setEasyMeshAgentCfg.

Recomendações Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como solução temporária, considere desativar a função setEasyMeshAgentCfg até que um patch esteja disponível. Restrinja o acesso ao parâmetro mac na função afetada setEasyMeshAgentCfg() para minimizar o risco de exploração.

Exploit

Correção

RCE

OS Command Injection

Command Injection

Enumeração de Fraquezas

CWE-78

CWE-77

Identificadores relacionados

BDU:2025-12688

CVE-2025-61045

Produtos afetados

Totolink X18

Referências · 7

• 🔥 https://github.com/ilovekeer/IOT/blob/main/TOTOLINK/X18/setEasyMeshAgentCfg/1.md · Exploit
• https://bdu.fstec.ru/vul/2025-12688 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2025-61045 · Nota de Segurança
• https://twitter.com/cr34t0r_Cyxac/status/1982280170922021061 · Publicação no Twitter
• https://t.me/CVEtracker/33843 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1973411059747721279 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-61045 · Aviso do Fabricante