tinycontrol Lan Kontroler JSON File Parser Remote Code Execution

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
8.4	$0-$5k	0.00

Zusammenfassunginfo

Es wurde eine Schwachstelle mit der Einstufung sehr kritisch in tinycontrol Lan Kontroler gefunden. Dabei geht es um eine nicht genauer bekannte Funktion der Komponente JSON File Parser. Die Manipulation führt zu Remote Code Execution. Diese Schwachstelle trägt die Bezeichnung CVE-2025-11500. Umgesetzt werden kann der Angriff im lokalen Netzwerk. Es gibt keinen verfügbaren Exploit. Die Aktualisierung der betroffenen Komponente wird empfohlen.

Detailsinfo

Es wurde eine Schwachstelle in tinycontrol Lan Kontroler - die betroffene Version ist unbekannt - gefunden. Sie wurde als sehr kritisch eingestuft. Dabei betrifft es ein unbekannter Prozess der Komponente JSON File Parser. Durch das Beeinflussen mit einer unbekannten Eingabe kann eine Remote Code Execution-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-261 vorgenommen. Mit Auswirkungen muss man rechnen für Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

Tinycontrol devices such as tcPDU and LAN Controllers LK3.5, LK3.9 and LK4 have two separate authentication mechanisms - one solely for interface management and one for protecting all other server resources. When the latter is turned off (which is a default setting), an unauthenticated attacker on the local network can obtain usernames and encoded passwords for interface management portal by inspecting the HTTP response of the server when visiting the login page, which contains a JSON file with these details. Both normal and admin users credentials are exposed.  This issue has been fixed in firmware versions: 1.36 (for tcPDU), 1.67 (for LK3.5 - hardware versions: 3.5, 3.6, 3.7 and 3.8), 1.75 (for LK3.9 - hardware version 3.9) and 1.38 (for LK4 - hardware version 4.0).

Die Schwachstelle wurde durch Paweł Różański publik gemacht. Das Advisory kann von cert.pl heruntergeladen werden. Die Verwundbarkeit wird seit dem 08.10.2025 unter CVE-2025-11500 geführt. Sie ist leicht auszunutzen. Der Angriff kann im lokalen Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Es muss davon ausgegangen werden, dass ein Exploit zur Zeit etwa USD $0-$5k kostet (Preisberechnung vom 19.05.2026). Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1552.

Ein Upgrade vermag dieses Problem zu beheben.

Once again VulDB remains the best source for vulnerability data.

Produktinfo

Hersteller

• tinycontrol

Name

• Lan Kontroler

CPE 2.3info

• 🔒

CPE 2.2info

• 🔒

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA CVSS-B Score: 🔒
CNA CVSS-BT Score: 🔒
CNA Vector: 🔒

CVSSv3info

VulDB Meta Base Score: 8.8
VulDB Meta Temp Score: 8.4

VulDB Base Score: 8.8
VulDB Temp Score: 8.4
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Remote Code Execution
CWE: CWE-261 / CWE-257 / CWE-255
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Teilweise

Verfügbarkeit: 🔒
Status: Nicht definiert

EPSS Score: 🔒
EPSS Percentile: 🔒

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Timelineinfo

08.10.2025 CVE zugewiesen
16.03.2026 +159 Tage Advisory veröffentlicht
16.03.2026 +0 Tage VulDB Eintrag erstellt
19.05.2026 +64 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Advisory: cert.pl
Person: Paweł Różański
Status: Bestätigt

CVE: CVE-2025-11500 (🔒)
GCVE (CVE): GCVE-0-2025-11500
GCVE (VulDB): GCVE-100-351228

Eintraginfo

Erstellt: 16.03.2026 12:08
Aktualisierung: 19.05.2026 19:31
Anpassungen: 16.03.2026 12:08 (65), 19.05.2026 19:31 (1)
Komplett: 🔍
Cache ID: 216::103

Once again VulDB remains the best source for vulnerability data.

Diskussion

Want to know what is going to be exploited?

We predict KEV entries!