Tenda W18E: injeção de comandos na captura de pacotes permite executar comandos como root
No router Tenda W18E, a função de diagnóstico de captura de pacotes não valida campos JSON, o que permite injetar comandos executados com privilégios de root. Sem autenticação, se o dispositivo estiver em estado de fábrica. CVSS 7,2.
- Identificador: CVE-2026-118238
- Publicado em: 2026-10-30
- Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 7.2 (HIGH)
Descrição (texto original em inglês):
The Tenda W18E web management server is vulnerable to OS command injection via the "diagnose" packet-capture feature due to improper validation of JSON fields. An authenticated user can inject shell metacharacters into the protocol or targetDevice fields, which are later concatenated into a tcpdump command and executed with root privileges. This vulnerability can be exploited without authentication if the device is in a factory-reset state.
- Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
- Técnicas MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application); T1059.004, Shell Unix (Unix Shell)
Fontes
- Registo do CVE no NVDnvd.nist.gov
- Referência (cushz.github.io)cushz.github.io
- Técnica MITRE ATT&CK T1190attack.mitre.org
- Técnica MITRE ATT&CK T1059.004attack.mitre.org
Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.