CVE-2025-65427: Dbit N300 T1 Pro में प्रमाणीकरण दर सीमा समस्या

CVE ID: CVE-2025-65427

दिनांक: 2025-12-16

खोजकर्ता: Kirubel

उत्पाद: Dbit N300 T1 Pro Easy Setup Wireless Wi-Fi Router

फर्मवेयर संस्करण: V1.0.0

विवरण

Dbit N300 T1 Pro Easy Setup Wireless Wi-Fi Router के फर्मवेयर संस्करण V1.0.0 में एक समस्या पाई गई। यह उपकरण /api/login एंडपॉइंट (CWE-307) पर दर सीमा लागू नहीं करता है।

यह दूरस्थ हमलावरों को स्वचालित HTTP POST अनुरोधों के माध्यम से ब्रूट-फोर्स या क्रेडेंशियल स्टफिंग हमले करने की अनुमति देता है। सफल शोषण से प्रशासनिक अधिग्रहण होता है, जिससे कॉन्फ़िगरेशन परिवर्तन, DNS संशोधन, या फर्मवेयर अपडेट किए जा सकते हैं।

प्रूफ ऑफ कॉन्सेप्ट (PoC)

इस कमजोरी को curl या Python requests जैसे उपकरणों का उपयोग करके सत्यापित किया जा सकता है। सर्वर अत्यधिक असफल लॉगिन प्रयासों के बाद भी एक सत्र टोकन लौटाता है।

उदाहरण अनुरोध:

POST /api/login HTTP/1.1
Host: [Router_IP]
Content-Type: application/json

{"username": "admin", "password": "password_guess"}