CVE-2026-105484
KrytyczneCVSS 10.0Streszczenie
Wykryto podatność w routerze TOTOLINK X6000R w wersji 9.4.0cu.652_B20230116. Problem dotyczy funkcji firmware_check w pliku /cgi-bin/cstecgi.cgi w komponencie UploadFirmwareFile Handler. Manipulacja argumentem file_name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia systemowe na urządzeniu, co może prowadzić do pełnej kompromitacji routera i przejęcia kontroli nad siecią.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie oprogramowania układowego routera do najnowszej dostępnej wersji, jeśli producent wydał poprawkę. W przeciwnym razie ogranicz dostęp do panelu administracyjnego i interfejsu CGI tylko do zaufanych sieci.
Inne podatności w TOTOLINK X6000R
Zobacz wszystkie- CVE-2026-1723Krytyczne
Podatność na wstrzykiwanie poleceń systemu operacyjnego w TOTOLINK X6000R. Problem dotyczy wersji do V9.4.0cu.1498_B20250826. Atakujący może wykorzystać tę podatność do wykonania dowolnych poleceń systemowych.
- CVE-2024-52723Krytyczne
W routerze TOTOLINK X6000R w wersji oprogramowania V9.4.0cu.1041_B20240224, w pliku shttpd, funkcja Uci_Set_Str jest używana bez odpowiedniego filtrowania parametrów. Atakujący może wykorzystać tę podatność do wykonania dowolnych poleceń poprzez spreparowanie odpowiedniego ładunku.
- CVE-2023-50651Krytyczne
W routerze TOTOLINK X6000R w wersji oprogramowania v9.4.0cu.852_B20230719 wykryto podatność na zdalne wykonanie kodu (RCE) w komponencie /cgi-bin/cstecgi.cgi. Atakujący może wysłać specjalnie spreparowane żądanie, aby wykonać dowolne polecenia na urządzeniu.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in TOTOLINK X6000R 9.4.0cu.652_B20230116. The impacted element is the function firmware_check of the file /cgi-bin/cstecgi.cgi of the component UploadFirmwareFile Handler. Such manipulation of the argument file_name leads to os command injection. The attack may be performed from remote.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS