CVE-2024-10654
TOTOLINK LR350 formLoginAuth.htm تفويض
- تم النشر
- 01/11/2024
- محدث
- 05/11/2024
- تخصيص CNA
- VulDB
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xمنخفض · الثلاثين يومًا القادمة
- المئوية
- 74.7%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
تم اكتشاف ثغرة أمنية في TOTOLINK LR350 حتى الإصدار 9.3.5u.6369 وتم تصنيفها على أنها حرجة. تتأثر بهذه الثغرة وظيفة غير معروفة في الملف /formLoginAuth.htm. يؤدي التلاعب بالوسيط authCode مع الإدخال 1 إلى تجاوز التفويض. يمكن شن الهجوم عن بُعد. تم الكشف عن الاستغلال للجمهور ويمكن استخدامه. يمكن للترقية إلى الإصدار 9.3.5u.6698_B20230810 معالجة هذه المشكلة. يوصى بترقية المكوّن المتأثر.
المصادر
- IoT_vulnPoC
استغلالات إثبات المفهوم لثغرات أجهزة إنترنت الأشياء، بما في ذلك CVEs لتجاوز تسجيل الدخول في TOTOLINK، مع تحليل فني مفصل وخطوات إعادة الإنتاج.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.