kirubel-cve/cve-2025-65427Эксплойт proof-of-concept для CVE-2025-65427: отсутствие ограничения скорости на API входа в систему маршрутизатора Dbit N300 T1 Pro, позволяющее проводить атаки перебором и захватывать административный доступ.
Идентификатор CVE: CVE-2025-65427
Дата: 2025-12-16
Обнаружил: Kirubel
Продукт: Dbit N300 T1 Pro Easy Setup Wireless Wi-Fi Router
Версия прошивки: V1.0.0
Проблема обнаружена в маршрутизаторе Dbit N300 T1 Pro Easy Setup Wireless Wi-Fi Router с версией прошивки V1.0.0. Устройство не реализует ограничение скорости на эндпоинте /api/login (CWE-307).
Это позволяет удалённым злоумышленникам выполнять атаки перебором или подбором учётных данных с помощью автоматизированных HTTP POST-запросов. Успешная эксплуатация приводит к получению административного доступа, что позволяет изменять конфигурацию, модифицировать DNS или обновлять прошивку.
Уязвимость можно проверить с помощью таких инструментов, как curl или Python requests. Сервер возвращает токен сессии даже после многократных неудачных попыток входа.
Пример запроса:
POST /api/login HTTP/1.1
Host: [Router_IP]
Content-Type: application/json
{"username": "admin", "password": "password_guess"}