CVE-2026-1689

सारांश

Tenda HG10 राउटर में एक कमांड इंजेक्शन भेद्यता मौजूद है। यह formLogin एंडपॉइंट में Host पैरामीटर के अनुचित हैंडलिंग के कारण होती है।

चूंकि यह जांच से पहले निष्पादित होती है, इसलिए कोई प्रमाणीकरण क्रेडेंशियल सत्यापित नहीं किए जाते हैं।

Host हेडर से उपयोगकर्ता इनपुट को बिना किसी सत्यापन के सीधे कमांड के रूप में निष्पादित किया जाता है:

ifconfig br0 | grep 'inet6' | grep '<user_input>'

उपयोग

एक सरल स्क्रिप्ट (exploit.go) शामिल है, जो बड़े पैमाने पर शोषण के लिए IP:port/URL जोड़े वाली फ़ाइल स्वीकार करती है।

खोज

+100k से अधिक डिवाइस सक्रिय हैं, और +15k से अधिक का पहले ही परीक्षण किया जा चुका है और उन्हें भेद्य के रूप में सत्यापित किया गया है।