Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-78

CVE-2026-10131

TOTOLINK X2000R formPasswordSetup işlevinde OS komut enjeksiyonu açığı

Totolink

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
24 Eki 2026
Açık yaşı
7 gün
Kaydı açan
talos

Yönetici özeti

Bu açık, ağ geçidi olarak kullanılan bir yönlendiricinin tamamen ele geçirilmesine olanak tanıyabilir ve işletmenizin ağındaki tüm trafiği ve bağlı sistemleri riske atabilir. Saldırının kimlik doğrulaması gerektirmesi tek başına güvence sağlamaz; kritik öncelikle ele alınmalıdır. Cihazın güncel durumunu hemen kontrol etmeniz önerilir.

ÖzetTürkçe

TOTOLINK X2000R cihazının (sürüm TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) boa web sunucusundaki formPasswordSetup işlevinde işletim sistemi komut enjeksiyonu açığı bulunmaktadır. Özel hazırlanmış bir HTTP isteği, bu işlevin girdisine komut eklenmesine yol açabilmektedir. Açık, kimlik doğrulaması yapılmış bir istekle tetiklenebilir.

Saldırgan ne yapabilir?

Kimliği doğrulanmış bir saldırgan, cihaz üzerinde keyfi kod çalıştırabilir; bu da cihazın tamamen ele geçirilmesi, yapılandırmanın değiştirilmesi ve ağdaki diğer sistemlere sızma riski anlamına gelir.

Kaynaktaki açıklama (İngilizce)

An OS command injection vulnerability exists in the boa formPasswordSetup functionality of X2000R (version(s): TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327). A specially crafted HTTP request can lead to arbitrary code execution. An attacker can make an authenticated HTTP request to trigger this vulnerability.

Ne yapmalı?

  1. Üretici tarafından sağlanan bir düzeltme sürümü veri setinde belirtilmediği için, cihazı üreticinin web sitesinden güncel firmware sürümünü kontrol edin ve bu açığı giderdiğini doğrulayın. Genel öneri
  2. Güncelleme yayımlanana kadar cihazın yönetim arayüzüne yalnızca güvenilen iç ağ üzerinden erişime izin verin; yönetim arayüzünü internete açık bırakmayın. Genel öneri
  3. Yönetici hesaplarının parolalarını güçlü ve benzersiz parolalarla değiştirin, çünkü açık kimlik doğrulaması gerektirmektedir. Genel öneri
  4. Güvenlik düzeltmesi yüklenene kadar cihazı yeniden başlatıp yapılandırmayı kontrol edin ve beklenmeyen ayar değişikliklerini veya yeni kullanıcı hesaplarını inceleyin. Genel öneri

Ek önlemler

  • Yönetim arayüzüne erişimi yalnızca belirli IP adreslerine veya yönetim ağına kısıtlayın. Genel öneri
  • Cihazın kayıtlarını ve ağ trafiğini olağandışı HTTP isteklerine karşı izleyin. Genel öneri
  • Kullanılmayan yönetim özelliklerini ve uzaktan erişimi devre dışı bırakın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Totolink TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.