CVE-2026-19815
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W routerze TOTOLINK A800R w wersji 4.1.2cu.5137_B20200730 wykryto podatność na przepełnienie bufora oparte na stosie w funkcji setParentalRules w pliku /cgi-bin/cstecgi.cgi w komponencie firewall.so. Manipulacja argumentem urlKeyword może prowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Ocena ryzyka
Zdalny atakujący może wykorzystać tę podatność do wykonania dowolnego kodu na routerze, co może prowadzić do przejęcia kontroli nad urządzeniem i siecią, przechwycenia ruchu lub dalszych ataków.
Rekomendacja
Zaktualizuj oprogramowanie routera TOTOLINK A800R do najnowszej dostępnej wersji, jeśli producent wydał poprawkę. Jeśli nie, ogranicz dostęp do interfejsu zarządzania z zewnątrz i monitoruj ruch sieciowy.
Inne podatności w TOTOLINK A800R
Zobacz wszystkie- CVE-2026-19847Wysokie
Wykryto lukę bezpieczeństwa w TOTOLINK A800R 4.1.2cu.5137_B20200730. Dotyczy ona funkcji setWiFiWpsConfig w pliku /cgi-bin/cstecgi.cgi komponentu wps.so. Manipulacja argumentem pin powoduje przepełnienie bufora oparte na stosie. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty do ataków.
- CVE-2026-19846Wysokie
Zidentyfikowano podatność w TOTOLINK A800R 4.1.2cu.5137_B20200730. Dotyczy ona funkcji setUrlFilterRules w pliku /cgi-bin/cstecgi.cgi komponentu firewall.so. Manipulacja argumentem url prowadzi do przepełnienia bufora opartego na stosie. Atak może być zainicjowany zdalnie. Exploit jest publicznie dostępny i może być użyty.
- CVE-2026-19845Wysokie
W TOTOLINK A800R w wersji 4.1.2cu.5137_B20200730 stwierdzono podatność na przepełnienie bufora oparte na stosie w funkcji setStaticDhcpConfig pliku /cgi-bin/cstecgi.cgi (komponent lan.so). Manipulacja argumentem Comment może prowadzić do zdalnego wykonania kodu.
- CVE-2026-19844Wysokie
W TOTOLINK A800R w wersji 4.1.2cu.5137_B20200730 stwierdzono podatność na przepełnienie bufora oparte na stosie w funkcji setRadvdCfg pliku /cgi-bin/cstecgi.cgi (komponent ipv6.so). Manipulacja argumentem radvdinterfacename może prowadzić do zdalnego wykonania kodu.
- CVE-2026-19814Wysokie
W routerze TOTOLINK A800R w wersji 4.1.2cu.5137_B20200730 wykryto podatność na przepełnienie bufora oparte na stosie w funkcji setMacQos w pliku /cgi-bin/cstecgi.cgi w komponencie firewall.so. Manipulacja argumentem macAddress może prowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-19813Wysokie
W routerze TOTOLINK A800R w wersji 4.1.2cu.5137_B20200730 wykryto podatność na przepełnienie bufora oparte na stosie w funkcji setMacFilterRules w pliku /cgi-bin/cstecgi.cgi w komponencie firewall.so. Manipulacja argumentem Comment może prowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-19812Wysokie
W routerze TOTOLINK A800R w wersji 4.1.2cu.5137_B20200730 wykryto podatność na przepełnienie bufora oparte na stosie w funkcji UploadCustomModule w pliku /cgi-bin/cstecgi.cgi w komponencie product.so. Manipulacja argumentem File może prowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit został udostępniony publicznie.
- CVE-2026-19811Wysokie
W routerze TOTOLINK A800R w wersji 4.1.2cu.5137_B20200730 wykryto podatność na przepełnienie bufora oparte na stosie w funkcji setIpQosRules w pliku /cgi-bin/cstecgi.cgi w komponencie firewall.so. Manipulacja argumentem Comment może prowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in TOTOLINK A800R 4.1.2cu.5137_B20200730. Affected by this vulnerability is the function setParentalRules of the file /cgi-bin/cstecgi.cgi of the component firewall.so. Executing a manipulation of the argument urlKeyword can lead to stack-based buffer overflow. It is possible to launch the attack remotely. The exploit has been published and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS