kirubel-cve/cve-2025-65427إثبات مفهوم لاستغلال CVE-2025-65427: غياب تحديد معدل الطلبات على واجهة برمجة تطبيقات تسجيل الدخول لجهاز التوجيه Dbit N300 T1 Pro مما يتيح هجمات القوة الغاشمة والاستيلاء على صلاحيات الإدارة.
معرف CVE: CVE-2025-65427
التاريخ: 2025-12-16
مكتشف الثغرة: Kirubel
المنتج: Dbit N300 T1 Pro Easy Setup Wireless Wi-Fi Router
إصدار البرنامج الثابت: V1.0.0
تم اكتشاف مشكلة في جهاز التوجيه Dbit N300 T1 Pro Easy Setup Wireless Wi-Fi Router على إصدار البرنامج الثابت V1.0.0. لا يطبّق الجهاز حدًا لمعدل الطلبات على نقطة النهاية /api/login (CWE-307).
يسمح ذلك للمهاجمين عن بُعد بتنفيذ هجمات التخمين القسري أو حشو بيانات الاعتماد عبر طلبات HTTP POST آلية. يؤدي الاستغلال الناجح إلى السيطرة الكاملة على الجهاز، مما يسمح بتغيير الإعدادات أو تعديل DNS أو تحديث البرنامج الثابت.
يمكن التحقق من الثغرة باستخدام أدوات مثل curl أو مكتبة requests في بايثون. يعيد الخادم رمز جلسة حتى بعد محاولات تسجيل دخول فاشلة مفرطة.
مثال على الطلب:
POST /api/login HTTP/1.1
Host: [Router_IP]
Content-Type: application/json
{"username": "admin", "password": "password_guess"}