- شناسه CVE-2025-7614 :CVE
- CWE-77/CWE-74 :CWE
- yes :Advisory
- منتشر شده: جولای 14, 2025
- به روز شده: جولای 14, 2025
- امتیاز: 6.3
- نوع حمله: Command Injection
- اثر گذاری: Unknown
- حوزه: تجهیزات شبکه و امنیت
- برند: TOTOLINK
- محصول: T6
- وضعیتPublished :CVE
- Yes :POC
- وضعیت آسیب پذیری: patch نشده
چکیده
یک آسیب‌پذیری تزریق فرمان (Command Injection) در روتر TOTOLINK T6 نسخه 4.1.5cu.748 شناسایی شده است. این آسیب پذیری به مهاجم با دسترسی محدود اجازه می‌دهد از راه دور و با ارسال کامپوننت پردازشگر درخواست HTTP POST به تابع delDevice، دستورات دلخواه اجرا کند.
توضیحات
در روتر TOTOLINK T6 با نسخه‌ی 4.1.5cu.748، تابعی به نام delDevice در مسیر فایل /cgi-bin/cstecgi.cgi به درستی ورودی آرگومان ipAddr را بررسی نمی‌کند. این آسیب پذیری منجر به آسیب‌پذیری تزریق فرمان (Command Injection) می‌شود که در دسته‌بندی‌های CWE-77 و CWE-74 قرار می‌گیرد.
این آسیب پذیری امنیتی به مهاجم با دسترسی محدود به سیستم اجازه می‌دهد با ارسال یک درخواست HTTP POST مخرب، کد دلخواه خود را روی دستگاه اجرا کند. این آسیب پذیری محرمانگی، یکپارچگی و در دسترس پذیری را تهدید می کند. این حمله بدون نیاز به تعامل کاربر و از طریق شبکه قابل اجرا می باشد. کد اثبات مفهومی (PoC) به‌صورت عمومی منتشر شده است که ریسک سوءاستفاده را افزایش می‌دهد. در حال حاضر، هیچگونه به روزرسانی یا پچ امنیتی از سوی TOTOLINK منتشر نشده است.
CVSS
| Score | Severity | Version | Vector String |
| 5.3 | MEDIUM | 4.0 | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P |
| 6.3 | MEDIUM | 3.1 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:R |
| 6.3 | MEDIUM | 3.0 | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:R |
| 6.5 | — | 2.0 | AV:N/AC:L/Au:S/C:P/I:P/A:P/E:POC/RL:ND/RC:UR |
لیست محصولات آسیب پذیر
| Versions | Product |
| affected at 4.1.5cu.748 | T6 |
نتیجه گیری
به مدیران سیستم‌ها و شبکه‌ها توصیه می‌شود تا زمان انتشار پچ امنیتی رسمی، دسترسی به رابط وب روتر TOTOLINK T6 را با فایروال محدود کرده یا از دستگاه جایگزین استفاده کنند. همچنین لازم است از باز کردن لینک‌های مشکوک خودداری کرده و به‌روزرسانی‌های TOTOLINK به‌طور مرتب بررسی شود.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-7614
- https://www.cvedetails.com/cve/CVE-2025-7614/
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-7614
- https://vuldb.com/?submit.615368
- https://vuldb.com/?id.316314
- https://vuldb.com/?ctiid.316314
- https://github.com/ElvisBlue/Public/blob/main/Vuln/5.md
- https://github.com/ElvisBlue/Public/blob/main/Vuln/5.md#poc
- https://nvd.nist.gov/vuln/detail/CVE-2025-7614
- https://cwe.mitre.org/data/definitions/77.html
- https://cwe.mitre.org/data/definitions/74.html
