BDU:2026-00049

Опубликовано: 17 мая 2025

Источник: fstec

CVSS3: 6.1

CVSS2: 6.4

EPSS Низкий

Описание

Уязвимость веб-интерфейса микропрограммного обеспечения маршрутизатора LB-Link BL-CPE300M связана с непринятием мер по защите структуры веб-страницы при обработке параметра cmd. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, провести атаку межсайтового скриптинга (XSS)

Вендор

Shenzhen Bilian Electronics Co., Ltd.

Наименование ПО

LB-Link BL-CPE300M

Версия ПО

BL-R8800_B10_ALK_SL_V01.01.02P42U14_06c (LB-Link BL-CPE300M)

Тип ПО

ПО сетевого программно-аппаратного средства

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,1)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к устройствам;

- ограничение доступа из внешних сетей (Интернет);

- отключение/ограничение функции удаленного управления для предотвращения попыток эксплуатации уязвимости (например, запрет использования незащищенных протоколов, таких как HTTP или Telnet);

- соблюдение парольной политики принятой для организации доступа к устройству;

- сегментирование сети для ограничения доступа к уязвимому устройству;

- использование средств обнаружения и предотвращения вторжений (IDS/IPS) для выявления и реагирования на попытки эксплуатации уязвимости;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-51569
CVE

EPSS

Процентиль: 29%

0.00106

Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

CVE-2025-51569

CVSS3: 6.1

nvd

6 месяцев назад

A cross-site scripting (XSS) vulnerability exists in the LB-Link BL-CPE300M 01.01.02P42U14_06 router's web interface. The /goform/goform_get_cmd_process endpoint fails to sanitize user input in the cmd parameter before reflecting it into a text/html response. This allows unauthenticated attackers to inject arbitrary JavaScript, which is executed in the context of the router's origin when the crafted URL is accessed. The issue requires user interaction to exploit.

GHSA-gcm8-8cp3-3x4h

CVSS3: 6.1

github

6 месяцев назад

EPSS

Процентиль: 29%

0.00106

Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2