Pix-Link LV-WR21Q Unauthenticated Access & DoS Vulnerabilities (CVE-2025-12386/12387)

脆弱性情報 脆弱性詳細 CVE ID: CVE-2025-12386 - 公開日: 2026年1月27日 - ベンダー: Pix-Link - 製品: LV-WR21Q - 脆弱性対象バージョン: V108_108 - 脆弱性の種類: 重要な機能に対する認証の欠如 (CWE-306) - 報告元: CERT Polskaへの報告 CVE ID: CVE-2025-12387 - 公開日: 2026年1月27日 - ベンダー: Pix-Link - 製品: LV-WR21Q - 脆弱性対象バージョン: V108_108 - 脆弱性の種類: 異常または例外条件における不適切なチェック (CWE-754) - 報告元: CERT Polskaへの報告 説明 CERT Polskaは、Pix-Link LV-WR21Qファームウェアにおける脆弱性の報告を受け、脆弱性開示の調整に参加しました。 CVE-2025-12386: Pix-Link LV-WR21Qは、エンドポイント に対してあらゆる形式の認証を実施していません。認証されていないリモート攻撃者はこのエンドポイントを悪用して、例えばアクセスポイントの平文パスワードを取得することができます。 CVE-2025-12387: Pix-Link LV-WR21Qルーターの言語モジュールにおける脆弱性により、存在しない言語パラメータを含む specially crafted なHTTP POSTリクエストを送信することで、リモート攻撃者がサービス拒否（DoS）を引き起こすことができます。これにより、サーバーは ファイルを正しく提供できなくなり、言語設定が正しい値に戻されるまで管理パネルの機能が停止するというDoS状態になります。このサービス拒否は管理パネルに影響を与えますが、ルーターの他の機能には影響しません。 謝辞 Wojciech Cybowski氏に、責任ある脆弱性報告への協力に感謝いたします。 備考 ベンダーはこれらの脆弱性について事前に通知を受けていましたが、脆弱性の詳細や影響を受けるバージョン範囲に関する回答はありません。テストを実施したのはバージョン V108_108 のみで、これが脆弱性の影響を受けることが確認されています。他のバージョンはテストされておらず、同様に脆弱性影響を受ける可能性があります。

目標達成 すべての支援者に感謝 — 100%達成しました！

Pix-Link LV-WR21Q Unauthenticated Access & DoS Vulnerabilities (CVE-2025-12386/12387)

目標達成すべての支援者に感謝 — 100%達成しました！