CVE-2026-19748
Publiée le 2026-08-13 · Dernière modification le 2026-08-14
Plusieurs modèles de routeurs Tenda (notamment les séries CH et CP) présentent une faille dans la manière dont leur service web gère les identifiants de session. Un attaquant distant non authentifié pourrait potentiellement prédire ou détourner la session d'un utilisateur, bien que la complexité technique rende cette opération très difficile à réaliser en pratique. Étant donné que l'attaque nécessite une grande précision et des conditions spécifiques, le risque réel pour la plupart des utilisateurs est faible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A security vulnerability has been detected in Tenda CH7, CH7G, CH10, CP3, CP3 Pro, CP7, TC3B14C, TC3B15C, TC3T14C and TC3T15C up to 20260625. Affected is the function CWebSessionManager_ParseSession of the file /user/bin/Kylin of the component Kylin Web Service. Such manipulation of the argument SESSION leads to insufficient entropy. The attack may be performed from remote. Attacks of this nature are highly complex. The exploitability is told to be difficult.