PT-2025-8982 · Tuoshi/Dionlink · Tuoshi/Dionlink Lt21B+1

Edward Warren · Publicado 2025-02-27 · Atualizado 2026-02-01 · CVE-2024-53944

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Dispositivos Tuoshi/Dionlink LT15D 4G Wi-Fi versão M7628NNxlSPv2xUI v1.0.1802.10.08 P4 Dispositivos Tuoshi/Dionlink LT21B versão M7628xUSAxUIv2 v1.0.1481.15.02 P0

Descrição Um problema permite que um atacante remoto com acesso à rede explore uma vulnerabilidade de injeção de comandos. O endpoint "/goform/formJsonAjaxReq" não sanitiza metacaracteres do shell enviados via parâmetros JSON, permitindo assim que atacantes executem comandos arbitrários do SO com privilégios de root.

Recomendações Para dispositivos Tuoshi/Dionlink LT15D 4G Wi-Fi versão M7628NNxlSPv2xUI v1.0.1802.10.08 P4, considere restringir o acesso ao endpoint "/goform/formJsonAjaxReq" até que um patch esteja disponível. Para dispositivos Tuoshi/Dionlink LT21B versão M7628xUSAxUIv2 v1.0.1481.15.02 P0, considere restringir o acesso ao endpoint "/goform/formJsonAjaxReq" até que um patch esteja disponível.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-53944

Produtos afetados

Tuoshi/Dionlink Lt15D

Tuoshi/Dionlink Lt21B

Referências · 12

• 🔥 https://github.com/actuator/cve/blob/main/Tuoshi/CVE-2024-53944-Whitepaper.pdf · Exploit
• 🔥 https://github.com/actuator/cve/blob/main/Tuoshi/CVE-2024-53944.txt · Exploit
• 🔥 https://github.com/actuator/cve/blob/main/Tuoshi/Firmware-M7628NNxISPv2xUI_v1.0.1802.10.08_P4-Blind-CMD-Injection-unauth-WAN.gif · Exploit
• https://twitter.com/CVEnew/status/1895622668864401696 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-53944 · Nota de Segurança
• https://t.me/cvenotify/113361 · Publicação no Telegram
• https://twitter.com/CVETracker/status/1895564816288240034 · Publicação no Twitter
• https://twitter.com/ET_Labs/status/2008657708631887990 · Publicação no Twitter
• https://twitter.com/cybercronai/status/1895957615521210535 · Publicação no Twitter
• http://tuoshi.net/productview.asp?id=226 · Nota
• https://twitter.com/VulmonFeeds/status/1895321494219071567 · Publicação no Twitter
• http://tuoshi.net/productview.asp?id=218 · Nota