CVE-2025-70328
Gravedad:
Pendiente de análisis
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
23/02/2026
Última modificación:
24/02/2026
Descripción
TOTOLINK X6000R v9.4.0cu.1498_B20250826 contiene una vulnerabilidad de inyección de comandos del sistema operativo en el gestor NTPSyncWithHost del ejecutable /usr/sbin/shttpd. El parámetro host_time se recupera a través de sub_40C404 y se pasa a un comando de shell date -s a través de CsteSystem. Aunque los dos primeros tokens de la entrada son validados, el resto de la cadena no se sanea, permitiendo a atacantes autenticados ejecutar comandos de shell arbitrarios a través de metacaracteres de shell.