- شناسه CVE-2025-45985 :CVE
- CWE-77 :CWE
- yes :Advisory
- منتشر شده: ژوئن 13, 2025
- به روز شده: ژوئن 13, 2025
- امتیاز: 9.8
- نوع حمله: Command Injection
- اثر گذاری: Unknown
- حوزه: تجهیزات شبکه و امنیت
- برند: Blink
- محصول: BL-WR9000
- وضعیتPublished :CVE
- Yes :POC
- وضعیت آسیب پذیری: patch نشده
چکیده
یک آسیب پذیری بحرانی از نوع تزریق فرمان (Command Injection) در روترهای Blink از طریق تابع bs_SetSSIDHide شناسایی شده است. این آسیب پذیری امکان اجرای دستورات دلخواه را از راه دور و بدون نیاز به احراز هویت فراهم می کند.
توضیحات
این آسیب پذیری در مدل های مختلف روتر Blink شامل BL-WR9000، BL-AC2100_AZ3 ، BL-X10_AC8، BL-LTE300، BL-F1200_AT1، BL-X26_AC8، BLAC450M_AE4و BL-X26_DA3 شناسایی شده است. این آسیب پذیری در تابع bs_SetSSIDHide در کتابخانه Libshare-0.0.26.so رخ می دهد، جایی که ورودی های خارجی به درستی خنثی سازی نمی شوند (CWE-77). این امر به مهاجم اجازه می دهد دستورات دلخواه را از طریق درخواست های HTTP مخرب اجرا کند. بهره برداری از این آسیب پذیری از راه دور و بدون نیاز به احراز هویت ممکن بوده و پیچیدگی کمی دارد. همچنین محرمانگی (confidentiality)، یکپارچگی (integrity) و در دسترس پذیری (availability) را تهدید می کند.
CVSS
| Score | Severity | Version | Vector String |
| 9.8 | CRITICAL | 3.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
لیست محصولات آسیب پذیر
| Versions | Product |
| 2.4.9 | BL-WR9000 |
| 1.0.4 | BL-AC2100_AZ3 |
| 1.0.5 | BL-X10_AC8 |
| 1.2.3 | BL-LTE300 |
| 1.0.0 | BL-F1200_AT1 |
| 1.2.8 | BL-X26_AC8 |
| 4.0.0 | BLAC450M_AE4 |
| 1.2.7 | BL-X26_DA3 |
نتیجه گیری
به کاربران توصیه می شود روترهای آسیب پذیر را از شبکه جدا کرده و منتظر انتشار پچ امنیتی رسمی باشند. استفاده از محصول جایگزین امن تر نیز توصیه می شود.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-45985
- https://www.cvedetails.com/cve/CVE-2025-45985/
- https://github.com/glkfc/IoT-Vulnerability/blob/main/LB-LINK/LB-LINK_enable
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-45985
- https://vuldb.com/?id.312491
- https://nvd.nist.gov/vuln/detail/CVE-2025-45985
- https://cwe.mitre.org/data/definitions/77.html
