CVE-2026-5962: Path traversal no httpd do Tenda CH22 na função R7WebsSecurityHandlerfunction
A VulDB relatou uma fraqueza de path traversal (CWE-22) na função R7WebsSecurityHandlerfunction do componente httpd do Tenda CH22 na versão 1.0.0.6, que segundo o registro pode ser explorada remotamente. A NVD atribui nota 9.8 (crítica) no CVSS 3.1, mas o registro não lista versão corrigida nem exploração ativa confirmada, apenas a existência de exploit público.
Visão geral
A VulDB relatou uma fraqueza de path traversal (CWE-22) na função R7WebsSecurityHandlerfunction do componente httpd do Tenda CH22, versão 1.0.0.6. A vulnerabilidade está registrada na NVD e descrita na entrada da VulDB.
Impacto
- O registro indica que o ataque pode ser iniciado remotamente.
- A NVD atribui nota 9.8 (crítica) no CVSS 3.1, com alto impacto de confidencialidade, integridade e disponibilidade no vetor. Outros provedores pontuam de forma menor, como 7.3 no CVSS 3.1 pela VulDB.
- Fraquezas de path traversal geralmente permitem acesso a arquivos fora do diretório pretendido. O impacto exato neste produto não foi verificado nas fontes consultadas.
Produtos e versões afetadas
- Tenda CH22 e Tenda Ch22 Firmware, versão 1.0.0.6 conforme listado no registro.
- O registro não informa versão corrigida.
Status de exploração
- O registro afirma que o exploit é público e pode ser utilizado. Há uma referência marcada como exploit no registro.
- O registro indica que este CVE não consta no catálogo KEV da CISA, portanto não há afirmação de exploração ativa na natureza.
- A exploração no SSVC está registrada como prova de conceito, com automação marcada como sim.
- A probabilidade EPSS está registrada como 0,00782, com percentil 0,5554.
Correção e mitigação
- Identifique se dispositivos Tenda CH22 executam a versão afetada e verifique o site do fabricante para atualizações de firmware. O registro não traz correção.
- Limite o acesso à interface de gerenciamento a redes confiáveis e desative a administração remota quando não for necessária.
- Aplique controles compensatórios, como segmentação de rede e restrições de acesso, até que uma correção oficial seja confirmada.
Orientações de detecção
- Revise os logs de gerenciamento web em busca de requisições incomuns ao serviço httpd, especialmente padrões de caminho de arquivo inesperados.
- Monitore os dispositivos quanto a alterações inesperadas de configuração ou firmware e a acessos administrativos de origens desconhecidas.
Limitações das informações disponíveis
- O registro não traz versão corrigida nem um aviso detalhado do fabricante, e a referência ao fabricante é apenas a página inicial.
- As pontuações CVSS variam entre provedores; esta análise cita a nota 9.8 da NVD.
- A data do EPSS no registro é posterior à data de publicação, por isso os valores devem ser tratados como registrados e não verificados de forma independente.
Perguntas frequentes
O que é o CVE-2026-5962?
É uma fraqueza de path traversal (CWE-22) na função R7WebsSecurityHandlerfunction do componente httpd do Tenda CH22 na versão 1.0.0.6, segundo o registro da VulDB.
Esta vulnerabilidade está sendo explorada ativamente?
O registro não a lista no catálogo KEV da CISA e não confirma exploração ativa. Ele afirma que existe um exploit público que pode ser utilizado.
Existe versão corrigida?
O registro não informa versão corrigida. Consulte o fabricante para atualizações de firmware e aplique controles compensatórios enquanto isso.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.