PT-2026-36000 · Tenda · A302 Firmware+2

CVE-2018-25317 · Publicado 2026-04-29 · Atualizado 2026-05-05

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Tenda W3002R/A302/W309R wireless routers versão V5.07.64 en

Descrição A validação insuficiente de sessão permite que atacantes não autenticados modifiquem as configurações de DNS. Ao enviar requisições GET para o endpoint '/goform/AdvSetDns' utilizando um cookie de idioma de administrador manipulado, um atacante pode alterar os servidores DNS primário e secundário para redirecionar o tráfego do usuário para servidores maliciosos.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

Authentication Bypass by Spoofing

Enumeração de Fraquezas

CWE-290

Identificadores relacionados

CVE-2018-25317

Produtos afetados

A302 Firmware

W3002R Firmware

W309R Firmware

Referências · 4

• 🔥 https://exploit-db.com/exploits/44380 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2018-25317 · Nota de Segurança
• https://vulncheck.com/advisories/tenda-w3002r-a302-w309r-64-en-cookie-session-weakness-dns-change · Nota
• https://t.me/cveNotify/162117 · Publicação no Telegram