PT-2026-5425 · Tenda · Tenda Hg10

Abcd1234 · Publicado 2026-01-17 · Atualizado 2026-02-10 · CVE-2026-1689

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas Tenda HG10 US HG7 HG9 HG10re 300001138 en xpon (versões afetadas não especificadas)

Descrição Existe uma falha no componente de Interface de Login do software, especificamente dentro da função checkUserFromLanOrWan localizada no arquivo /boaform/admin/formLogin. A manipulação do argumento Host pode resultar em injeção de comando. Este problema é explorável remotamente e o exploit está disponível publicamente.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Command Injection

Special Elements Injection

Enumeração de Fraquezas

CWE-77

CWE-74

Identificadores relacionados

BDU:2026-01124

CVE-2026-1689

Produtos afetados

Tenda Hg10

Referências · 11

• 🔥 https://github.com/SunnyYANGyaya/cuicuishark-sheep-fishIOT/blob/main/Tenda/HG10/formLogin-Host-command.md#poc · Exploit
• 🔥 https://github.com/SunnyYANGyaya/cuicuishark-sheep-fishIOT/blob/main/Tenda/HG10/formLogin-Host-command.md · Exploit
• https://t.me/cveNotify/151545 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2017287021132214750 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2026-01124 · Nota de Segurança
• https://vuldb.com/?submit.741411 · Nota
• https://vuldb.com/?ctiid.343483 · Nota
• https://tenda.com.cn · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-1689 · Nota de Segurança
• https://t.me/CVEtracker/43309 · Publicação no Telegram
• https://vuldb.com/?id.343483 · Nota