CVE-2026-79912
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 71 - wyżej niż 71% wszystkich znanych CVE
Streszczenie
Wykryto podatność w TOTOLINK N600R 4.3.0cu.7647_B20210106. Dotkniętym elementem jest funkcja getCurrentTime w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem ntp_server prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być wykorzystany.
Ocena ryzyka
Ryzyko dla organizacji obejmuje zdalne wykonanie dowolnych poleceń na urządzeniu, co może prowadzić do pełnej kompromitacji routera i przechwycenia ruchu sieciowego. Publiczny exploit zwiększa prawdopodobieństwo ataku.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie oprogramowania układowego TOTOLINK N600R do najnowszej wersji, jeśli dostępna. Należy również ograniczyć dostęp do panelu administracyjnego i monitorować ruch sieciowy.
Inne podatności w TOTOLINK N600R
Zobacz wszystkie- CVE-2026-79911Krytyczne
W TOTOLINK N600R w wersji 4.3.0cu.7647_B20210106 wykryto podatność na przepełnienie bufora oparte na stosie w funkcji setSystemConfig w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem Hostname prowadzi do przepełnienia bufora, co można wykorzystać zdalnie. Exploit został publicznie ujawniony.
- CVE-2025-51390Krytyczne
W routerze TOTOLINK N600R w wersji oprogramowania V4.3.0cu.7647_B20210106 odkryto podatność na wstrzykiwanie poleceń. Problem występuje w funkcji setWiFiWpsConfig przez parametr pin.
- CVE-2025-46060Krytyczne
W routerze TOTOLINK N600R w wersji oprogramowania 4.3.0cu.7866_B2022506 wykryto podatność na przepełnienie bufora. Zdalny atakujący może wykorzystać komponent UPLOAD_FILENAME do wykonania dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in TOTOLINK N600R 4.3.0cu.7647_B20210106. The impacted element is the function getCurrentTime of the file /cgi-bin/cstecgi.cgi. Performing a manipulation of the argument ntp_server results in command injection. The attack can be initiated remotely. The exploit is now public and may be used.