CVE-2026-51687
Niskie ryzyko· EPSS 7%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Nieprawidłowa kontrola dostępu w funkcji setWiFiEasyGuestCf routera TOTOLINK T6 umożliwia nieuwierzytelnionym atakującym tworzenie lub osłabianie gościnnego dostępu bezprzewodowego poprzez spreparowane żądanie POST do /cgi-bin/cstecgi.cgi.
Ocena ryzyka
Atakujący może utworzyć nieautoryzowaną sieć gościnną lub osłabić jej zabezpieczenia, co może ułatwić dostęp do sieci wewnętrznej.
Rekomendacja
Zaktualizuj oprogramowanie routera i wyłącz lub zabezpiecz funkcję gościnnej sieci Wi-Fi, jeśli nie jest potrzebna.
Inne podatności w TOTOLINK T6
Zobacz wszystkie- CVE-2026-51764Nieznane
Nieprawidłowa kontrola dostępu w funkcji recvSlaveCloudCheckStatus routera TOTOLINK T6 (wersja 4.1.5cu.748_B20211015) pozwala nieuwierzytelnionym atakującym na nadpisywanie plików śledzących wyniki chmury poprzez wysłanie spreparowanej wiadomości MQTT do komponentu cs_broker.
- CVE-2026-51762Nieznane
Nieprawidłowa kontrola dostępu w funkcji meshInfoKick routera TOTOLINK T6 (wersja 4.1.5cu.748_B20211015) pozwala nieuwierzytelnionym atakującym na usuwanie lub czyszczenie nieaktualnych informacji/stanu mesh oraz wymuszenie regeneracji metadanych mesh poprzez wysłanie spreparowanej wiadomości MQTT do komponentu cs_broker.
- CVE-2026-51760Nieznane
Nieprawidłowa kontrola dostępu w funkcji informSyncUpgfw routera TOTOLINK T6 (wersja 4.1.5cu.748_B20211015) pozwala nieuwierzytelnionym atakującym na masowe wyzwalanie aktualizacji oprogramowania w węzłach mesh poprzez wysłanie spreparowanej wiadomości MQTT do komponentu cs_broker.
- CVE-2026-51757Nieznane
Nieprawidłowa kontrola dostępu w funkcji meshSlaveUpdate routera TOTOLINK T6 (wersja 4.1.5cu.748_B20211015) pozwala nieuwierzytelnionym atakującym na rozpoczęcie pobierania lub flashowania oprogramowania na urządzeniu podrzędnym poprzez wysłanie spreparowanej wiadomości MQTT do komponentu cs_broker.
- CVE-2026-51754Nieznane
Nieprawidłowa kontrola dostępu w funkcji updateSlaveIpList routera TOTOLINK T6 (wersja 4.1.5cu.748_B20211015) pozwala nieuwierzytelnionym atakującym na nadpisywanie stanu listy adresów IP urządzeń podrzędnych poprzez wysłanie spreparowanej wiadomości MQTT do komponentu cs_broker.
- CVE-2026-51751Nieznane
Nieprawidłowa kontrola dostępu w funkcji delSlaveDevice routera TOTOLINK T6 pozwala nieuwierzytelnionemu atakującemu na usunięcie wybranego urządzenia podrzędnego z lokalnych danych zarządzania siecią mesh oraz na ponowne uruchomienie systemu poprzez wysłanie spreparowanej wiadomości MQTT do komponentu cs_broker.
- CVE-2026-51750Nieznane
Nieprawidłowa kontrola dostępu w funkcji updatePriChannel routera TOTOLINK T6 pozwala nieuwierzytelnionemu atakującemu na ponowne skanowanie i przełączanie głównego kanału sieci mesh poprzez wysłanie spreparowanej wiadomości MQTT do komponentu cs_broker.
- CVE-2026-51747Nieznane
Nieprawidłowa kontrola dostępu w funkcji keepAlive routera TOTOLINK T6 (wersja 4.1.5cu.748_B20211015) pozwala nieuwierzytelnionym atakującym na wysyłanie pośrednich informacji o sieci mesh do mastera poprzez spreparowaną wiadomość MQTT do komponentu cs_broker.
- CVE-2026-51744Nieznane
Nieprawidłowa kontrola dostępu w funkcji recv_mesh_info_sync routera TOTOLINK T6 (wersja 4.1.5cu.748_B20211015) pozwala nieuwierzytelnionym atakującym na wymuszenie synchronizacji konfiguracji mesh z kontrolowanego przez atakującego hosta poprzez wysłanie spreparowanej wiadomości MQTT do komponentu cs_broker.
- CVE-2026-51741Nieznane
Nieprawidłowa kontrola dostępu w funkcji clearDiagnosisLog routera TOTOLINK T6 (wersja 4.1.5cu.748_B20211015) umożliwia nieuwierzytelnionym atakującym usunięcie dzienników diagnostycznych poprzez wysłanie spreparowanego żądania POST do /cgi-bin/cstecgi.cgi.
Oryginalny opis (angielski, źródło NVD)
Incorrect access control in the setWiFiEasyGuestCf function of TOTOLINK T6 4.1.5cu.748_B20211015 allows unauthenticated attackers to create or weaken guest wireless access via sending a crafted POST request to /cgi-bin/cstecgi.cgi.