CVE-2026-7721
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 63 - wyżej niż 63% wszystkich znanych CVE
Streszczenie
W urządzeniu Totolink WA300 5.2cu.7112_B20190227 funkcja NTPSyncWithHost w pliku /cgi-bin/cstecgi.cgi umożliwia wstrzyknięcie poleceń poprzez manipulację argumentem hostTime. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia systemowe na urządzeniu, co może prowadzić do pełnego przejęcia kontroli nad routerem lub access pointem. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Ogranicz dostęp do interfejsu zarządzania urządzeniem do zaufanych sieci i rozważ aktualizację firmware, jeśli producent wyda poprawkę. Do czasu naprawy zaleca się monitorowanie i izolację urządzenia.
Inne podatności w Totolink WA300
Zobacz wszystkie- CVE-2026-7720Średnie
W urządzeniu Totolink WA300 (wersja 5.2cu.7112_B20190227) wykryto podatność w funkcji setLanguageCfg w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem langType prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być wykorzystany.
- CVE-2026-7718Średnie
W urządzeniu Totolink WA300 (wersja 5.2cu.7112_B20190227) wykryto podatność w funkcji setWebWlanIdx w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem webWlanIdx prowadzi do wstrzyknięcia poleceń, a atak można zainicjować zdalnie. Exploit jest publicznie dostępny i może zostać wykorzystany.
- CVE-2026-0641Średnie
W urządzeniu TOTOLINK WA300 w wersji 5.2cu.7112_B20190227 wykryto podatność w funkcji sub_401510 pliku cstecgi.cgi. Manipulacja argumentem UPLOAD_FILENAME prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in Totolink WA300 5.2cu.7112_B20190227. This affects the function NTPSyncWithHost of the file /cgi-bin/cstecgi.cgi. Such manipulation of the argument hostTime leads to command injection. The attack can be executed remotely. The exploit has been disclosed publicly and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS