PT-2025-52247 · Wodesys · Wdr122B V2.0+2

Wojciech Cybowski · Publicado 2025-12-18 · Atualizado 2025-12-18 · CVE-2025-65008

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.4

Crítica

Vetor base

AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas Roteador WODESYS WD-R608U versões anteriores à WDR28081123OV1.01 WODESYS WDR122B V2.0 (versões afetadas não especificadas) WODESYS WDR28 (versões afetadas não especificadas)

Descrição A falta de validação de entrada no parâmetro langGet do endpoint da API /adm.cgi permite a execução de comandos shell do sistema. O fabricante foi notificado, mas não forneceu detalhes sobre as faixas de versões vulneráveis. Os testes confirmaram que a versão WDR28081123OV1.01 é vulnerável, e outras versões também podem estar afetadas.

Recomendações Atualize para a versão WDR28081123OV1.01 ou posterior. Restrinja o acesso ao endpoint /adm.cgi. Sanitize o parâmetro langGet para prevenir injeção de comandos.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2025-65008

Produtos afetados

Wd-R608U Router

Wdr122B V2.0

Wdr28

Referências · 6

• 🔥 https://github.com/wcyb/security_research · Exploit
• https://twitter.com/CVEnew/status/2001728036019085477 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2001675248471605576 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-65008 · Nota de Segurança
• https://cert.pl/en/posts/2025/12/CVE-2025-65007 · Nota
• http://wodesys.com/eproductms52.html · Nota