Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-122

CVE-2026-10136

TOTOLINK X2000R boa formUpload işlevinde heap taşması (uzaktan kod çalıştırma)

Totolink

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
24 Eki 2026
Açık yaşı
7 gün
Kaydı açan
talos

Yönetici özeti

Bu açık, ağ geçidi görevi gören bir yönlendiricinin tamamen kontrol altına alınmasına olanak tanıyabilir. Saldırının gerçekleşmesi için geçerli bir oturum gerekir, ancak etkisi çok yüksektir. Ağınızda bu cihaz kullanılıyorsa önceliği yüksek olarak ele alınmalıdır.

ÖzetTürkçe

TOTOLINK X2000R cihazının boa web sunucusu içindeki formUpload işlevinde heap tabanlı bir arabellek taşması bulunmaktadır. Özel hazırlanmış bir HTTP isteği bu hataya yol açabilir. Etkilenen sürüm TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327 olarak belirtilmiştir.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması yapılmış bir HTTP isteğiyle cihaz üzerinde rastgele kod çalıştırabilir. Bu durum cihazın tamamen ele geçirilmesine ve ağdaki diğer sistemlere erişime yol açabilir.

Kaynaktaki açıklama (İngilizce)

A heap-based buffer overflow vulnerability exists in the boa formUpload() functionality of X2000R (version(s): TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327). A specially crafted HTTP request can lead to arbitrary code execution. An attacker can make an authenticated HTTP request to trigger this vulnerability.

Ne yapmalı?

  1. Üretici tarafından sağlanan bir düzeltme veya güncel sürüm bilgisi bu kayıtta yer almamaktadır. Üreticinin resmi destek kanallarından X2000R için yayımlanmış bir güncelleme olup olmadığını kontrol edin. Genel öneri
  2. Güncelleme yayımlanana kadar cihazın yönetim arayüzüne erişimi yalnızca güvenilen yerel ağ adresleriyle sınırlandırın, internet üzerinden yönetim erişimini kapatın. Genel öneri
  3. Yönetici hesaplarının parolalarını güçlü ve benzersiz parolalarla değiştirin ve kullanılmayan hesapları devre dışı bırakın. Genel öneri
  4. Yayımlanan güncelleme uygulanana kadar cihazı kritik bir ağ bileşeni olarak izleyin ve olağandışı yönetim isteklerini veya beklenmeyen yeniden başlatmaları kayıt altında inceleyin. Genel öneri

Ek önlemler

  • Cihazın yönetim arayüzünü internete açık bırakmayın ve erişimi VPN veya IP beyaz listesiyle koruyun. Genel öneri
  • Yönetim arayüzüne yapılan isteklerin kayıtlarını tutun ve şüpheli dosya yükleme istekleri için izleme kuralları oluşturun. Genel öneri
  • Cihazın ağ segmentasyonunu gözden geçirin, böylece ele geçirilmesi halinde iç ağa yayılması sınırlandırılsın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Totolink TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.