CVE-2026-51617
Niskie ryzyko· EPSS 2%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Nieprawidłowa kontrola dostępu w funkcji getSysStatusCfg routera TOTOLINK T6 pozwala nieuwierzytelnionym atakującym uzyskać wrażliwe informacje, takie jak tryb pracy, wersja oprogramowania, numer seryjny, adresy IP WAN/LAN, SSID WiFi, klucze szyfrowania oraz statystyki podłączonych klientów, poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.
Ocena ryzyka
Ujawnienie kluczy szyfrowania i szczegółów sieci może umożliwić atakującemu nieautoryzowany dostęp do sieci WiFi i przechwycenie ruchu.
Rekomendacja
Natychmiast zaktualizuj oprogramowanie routera, zmień klucze WiFi i ogranicz dostęp administracyjny do zaufanych sieci.
Inne podatności w TOTOLINK T6
Zobacz wszystkie- CVE-2026-51665Niskie ryzyko· EPSS 7%
TOTOLINK T6 w wersji 4.1.5cu.748_B20211015 ma nieprawidłową kontrolę dostępu w funkcji getTracerouteCfg, co pozwala nieuwierzytelnionym atakującym na uzyskanie logów diagnostycznych traceroute poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.
- CVE-2026-51664Niskie ryzyko· EPSS 7%
TOTOLINK T6 w wersji 4.1.5cu.748_B20211015 ma nieprawidłową kontrolę dostępu w funkcji getTelnetCfg, co pozwala nieuwierzytelnionym atakującym na uzyskanie informacji o statusie włączenia usługi Telnet poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.
- CVE-2026-51663Niskie ryzyko· EPSS 8%
TOTOLINK T6 w wersji 4.1.5cu.748_B20211015 ma nieprawidłową kontrolę dostępu w funkcji getWiFiApcliScan, co pozwala nieuwierzytelnionym atakującym na wyzwolenie skanowania sieci bezprzewodowej i pobranie wyników skanowania AP-client poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.
- CVE-2026-51662Niskie ryzyko· EPSS 8%
TOTOLINK T6 w wersji 4.1.5cu.748_B20211015 ma nieprawidłową kontrolę dostępu w funkcji getCloudSrvCheckStatus, co pozwala nieuwierzytelnionym atakującym na uzyskanie informacji o statusie sprawdzania oprogramowania układowego w chmurze poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.
- CVE-2026-51661Niskie ryzyko· EPSS 7%
TOTOLINK T6 w wersji 4.1.5cu.748_B20211015 ma nieprawidłową kontrolę dostępu w funkcji getPortForwardRules, co pozwala nieuwierzytelnionym atakującym na uzyskanie reguł przekierowania portów poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.
- CVE-2026-51660Niskie ryzyko· EPSS 7%
Nieprawidłowa kontrola dostępu w funkcji getIpPortFilterRules routera TOTOLINK T6 pozwala nieuwierzytelnionym atakującym na uzyskanie reguł filtrowania IP i portów poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.
- CVE-2026-51659Niskie ryzyko· EPSS 7%
Nieprawidłowa kontrola dostępu w funkcji getUrlFilterRules routera TOTOLINK T6 pozwala nieuwierzytelnionym atakującym na uzyskanie informacji o konfiguracji DMZ poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.
- CVE-2026-51658Niskie ryzyko· EPSS 7%
Nieprawidłowa kontrola dostępu w funkcji getDmzCfg routera TOTOLINK T6 pozwala nieuwierzytelnionym atakującym na uzyskanie informacji o konfiguracji DMZ poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.
- CVE-2026-51657Niskie ryzyko· EPSS 7%
Nieprawidłowa kontrola dostępu w funkcji getSyslogCfg routera TOTOLINK T6 pozwala nieuwierzytelnionym atakującym na uzyskanie konfiguracji związanej z syslogiem poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.
- CVE-2026-51656Niskie ryzyko· EPSS 7%
Nieprawidłowa kontrola dostępu w funkcji getVpnPassCfg routera TOTOLINK T6 pozwala nieuwierzytelnionym atakującym na uzyskanie ustawień VPN pass-through i filtrowania ping WAN poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.
Oryginalny opis (angielski, źródło NVD)
Incorrect access control in the getSysStatusCfg function of TOTOLINK T6 4.1.5cu.748_B20211015 allows unauthenticated attackers to obtain sensitive information such as operation mode, firmware version, serial number, WAN/LAN IP addresses, WiFi SSID, encryption keys, and connected client statistics via sending a crafted POST request to /cgi-bin/cstecgi.cgi.