CVE-2026-24435
Publiée le 2026-01-26 · Dernière modification le 2026-06-17
Les routeurs Tenda W30E V2 (firmware V16.01.0.19(5037) et versions antérieures) présentent une politique CORS mal configurée qui permet à des sites web externes d'envoyer des requêtes non autorisées au panneau d'administration de l'appareil. Si un administrateur authentifié visite un site malveillant alors qu'il est connecté à son routeur, un attaquant peut voler des données sensibles ou modifier les paramètres du système via le navigateur de l'utilisateur. Cette attaque nécessite un accès au réseau ainsi qu'une interaction de l'utilisateur, mais ne demande pas à l'attaquant de posséder ses propres identifiants pour l'appareil.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Shenzhen Tenda W30E V2 firmware versions up to and including V16.01.0.19(5037) implement an insecure Cross-Origin Resource Sharing (CORS) policy on authenticated administrative endpoints. The device sets Access-Control-Allow-Origin: * in combination with Access-Control-Allow-Credentials: true, allowing attacker-controlled origins to issue credentialed cross-origin requests.