Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • CWE-78

CVE-2026-35499

Totolink X2000R cihazında boa formWsc peerRptPin işlevinde OS komut enjeksiyonu

Totolink

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
24 Eki 2026
Açık yaşı
8 gün
Kaydı açan
talos

Yönetici özeti

Bu açık, ağ geçidi işlevi gören bir yönlendirici cihazını etkileyerek saldırganların ağınızın kontrolünü ele geçirmesine olanak tanıyabilir. Kimlik doğrulama gerektirmesi kısmen risk azaltsa da kritik seviyededir ve cihazların hızla güncellenmesi veya izole edilmesi önerilir.

ÖzetTürkçe

Totolink X2000R cihazının TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327 sürümünde, boa formWsc peerRptPin işlevinde bir işletim sistemi komut enjeksiyonu açığı bulunmaktadır. Özel hazırlanmış bir HTTP isteği bu açığı tetikleyerek keyfi kod çalıştırılmasına yol açabilmektedir. Saldırganın bu açığı kullanabilmesi için cihaza kimlik doğrulamalı bir istek göndermesi gerekmektedir.

Saldırgan ne yapabilir?

Başarılı bir saldırgan cihaz üzerinde keyfi komut çalıştırabilir, bu da cihazın tam kontrolünün ele geçirilmesi, yapılandırmanın değiştirilmesi veya ağa yönelik ek saldırılar için kullanılması anlamına gelebilir.

Kaynaktaki açıklama (İngilizce)

An os command injection vulnerability exists in the boa formWsc peerRptPin functionality of Totolink X2000R TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327. A specially crafted HTTP request can lead to arbitrary code execution. An attacker can make an authenticated HTTP request to trigger this vulnerability.

Ne yapmalı?

  1. Üretici tarafından sağlanan düzeltilmiş bir sürüm veya çözüm bilgisi kaynak verilerinde yer almamaktadır; cihaz üreticisinin resmi destek kanallarından güncel firmware durumunu kontrol edin. Genel öneri
  2. Yönetim arayüzüne erişimi yalnızca güvenilen yerel ağ adresleriyle sınırlandırın ve internet üzerinden erişimi kapatın. Genel öneri
  3. Cihazdaki yönetici hesaplarının parolalarını güçlü ve benzersiz parolalarla değiştirin, varsayılan kimlik bilgilerini kaldırın. Genel öneri
  4. Üretici bir düzeltme yayınlayana kadar cihazı kritik ağ bölümlerinden izole edin veya mümkünse kullanımdan kaldırarak daha güvenli bir ekipmanla değiştirin. Genel öneri

Ek önlemler

  • Yönetim arayüzüne yönelik HTTP isteklerini izleyin ve olağandışı ya da beklenmeyen istekleri kayıt altına alın. Genel öneri
  • Cihazın giden ağ trafiğini izleyerek ele geçirilme belirtilerini (beklenmeyen bağlantılar, anormal veri akışı) kontrol edin. Genel öneri
  • Yönetici erişimini çok faktörlü kimlik doğrulama destekleniyorsa etkinleştirin ve yönetim portalını yalnızca güvenli ağlardan erişilebilir kılın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Totolink TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.