FICHE CVE

CVE-2025-70327

Publiée le 2026-02-23 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les routeurs TOTOLINK X5000R utilisant la version 9.1.0cu_2415_B20250515 sont vulnérables à l'injection de commandes via l'interface web. Un attaquant distant peut envoyer des requêtes spécialement conçues vers les paramètres de diagnostic pour exécuter des commandes système arbitraires ou provoquer le plantage de l'appareil. Cette attaque est facile à réaliser car elle ne nécessite qu'un accès réseau, sans interaction avec l'utilisateur ni authentification.

CVSS 3.19.8 CRITIQUE

Type de faiblesse

CWE-88 Consommation de ressources non contrôlée · CWE-400

Publiée2026-02-23

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

TOTOLINK X5000R v9.1.0cu_2415_B20250515 contains an argument injection vulnerability in the setDiagnosisCfg handler of the /usr/sbin/lighttpd executable. The ip parameter is retrieved via websGetVar and passed to a ping command through CsteSystem without validating if the input starts with a hyphen (-). This allows remote authenticated attackers to inject arbitrary command-line options into the ping utility, potentially leading to a Denial of Service (DoS) by causing excessive resource consumption or prolonged execution.