Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-78

CVE-2026-33568

TOTOLINK X2000R formMapDelDevice macstr işlevinde OS komut enjeksiyonu

Totolink

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2026
Açık yaşı
7 gün
Kaydı açan
talos

Yönetici özeti

Bu açık, ağ geçidi görevi gören bir cihazın tamamen ele geçirilmesine yol açabilir ve ağınızdaki diğer sistemlere erişim kapısı olabilir. Saldırganın kimlik doğrulaması yapmış olması gerektiği için risk biraz azalsa da, kritik seviyede olduğu için hemen önlem alınması önerilir.

ÖzetTürkçe

TOTOLINK X2000R cihazının boa web sunucusu içindeki formMapDelDevice işlevinde, macstr parametresi üzerinden OS komut enjeksiyonu açığı bulunmaktadır. Etkilenen sürüm olarak TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327 belirtilmiştir. Açık, özel hazırlanmış bir HTTP isteğiyle tetiklenebilmektedir.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması yapılmış bir HTTP isteğiyle cihazda keyfi kod çalıştırabilir. Bu durum cihazın tamamen ele geçirilmesine ve ağ trafiğinin izlenmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

A OS command injection vulnerability exists in the boa formMapDelDevice macstr functionality of X2000R (version(s): TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327). A specially crafted HTTP request can lead to arbitrary code execution. An attacker can make an authenticated HTTP request to trigger this vulnerability.

Ne yapmalı?

  1. Üretici tarafından sunulan bir düzeltme bilgisi bu kayıtta yer almamaktadır. Üreticinin resmi destek kanallarından bu model için güncel bir yazılım sürümü olup olmadığını kontrol edin ve varsa güncelleyin. Genel öneri
  2. Güncelleme yapılana kadar cihazın yönetim arayüzüne erişimi yalnızca güvenilen yerel ağ adreslerine kısıtlayın ve internet üzerinden yönetim erişimini kapatın. Genel öneri
  3. Yönetici hesaplarının parolalarını güçlü ve benzersiz parolalarla değiştirin, varsayılan kimlik bilgilerinin kullanılmadığından emin olun. Genel öneri
  4. Cihazın yönetim arayüzüne yapılan isteklerde ve sistem günlüklerinde olağandışı komut içeren istekleri izleyin. Genel öneri

Ek önlemler

  • Cihazı internete doğrudan açık bırakmayın; yönetim arayüzünü yalnızca güvenilen ağlardan erişilebilir tutun. Genel öneri
  • Kimlik doğrulama gerektiren bu açığın, ele geçirilmiş bir parola ile de istismar edilebileceğini göz önünde bulundurarak güçlü parola politikası uygulayın. Genel öneri
  • Güncelleme yayımlandığında cihaz yazılımını derhal yükleyin ve ağ cihazlarının sürüm takibini düzenli olarak yapın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Totolink TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.