CVE-2026-9511
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 61 - wyżej niż 61% wszystkich znanych CVE
Streszczenie
W Totolink CA750-PoE w wersji 6.2c.510 stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji setWebWlanIdx pliku /cgi-bin/cstecgi.cgi. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem webWlanIdx. Exploit jest publicznie dostępny.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia systemowe, co prowadzi do pełnej kompromitacji urządzenia i potencjalnego dostępu do sieci wewnętrznej.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie sprzętowe urządzenia do najnowszej wersji, jeśli jest dostępna, lub zastosować tymczasowe zabezpieczenia sieciowe blokujące dostęp do panelu administracyjnego.
Inne podatności w Totolink CA750-PoE
Zobacz wszystkie- CVE-2026-9534Średnie
W routerze Totolink CA750-PoE w wersji 6.2c.510 w komponencie Setting Handler w pliku /cgi-bin/cstecgi.cgi funkcja setWiFiWpsConfig jest podatna na wstrzykiwanie poleceń systemu operacyjnego poprzez argument PIN. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9533Średnie
W routerze Totolink CA750-PoE w wersji 6.2c.510 w komponencie Setting Handler w pliku /cgi-bin/cstecgi.cgi funkcja recvUpgradeNewFw jest podatna na wstrzykiwanie poleceń systemu operacyjnego poprzez argumenty fwUrl/magicid. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9532Średnie
W routerze Totolink CA750-PoE w wersji 6.2c.510 w komponencie Setting Handler w pliku /cgi-bin/cstecgi.cgi funkcja setUploadUserData jest podatna na wstrzykiwanie poleceń systemu operacyjnego poprzez argument FileName. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9531Średnie
W routerze Totolink CA750-PoE w wersji 6.2c.510 w komponencie Setting Handler w pliku /cgi-bin/cstecgi.cgi funkcja setUpgradeUboot jest podatna na wstrzykiwanie poleceń systemu operacyjnego poprzez argument FileName. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9515Średnie
W urządzeniu Totolink CA750-PoE w wersji 6.2c.510 wykryto podatność na wstrzykiwanie komend systemu operacyjnego. Problem występuje w funkcji setUnloadUserData w pliku /cgi-bin/cstecgi.cgi, gdzie atakujący może manipulować argumentem plugin_version. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9514Średnie
W urządzeniu Totolink CA750-PoE w wersji 6.2c.510 wykryto podatność na wstrzykiwanie komend systemu operacyjnego. Problem dotyczy funkcji setNetworkDiag w pliku /cgi-bin/cstecgi.cgi, gdzie atakujący może manipulować argumentami NetDiagHost, NetDiagPingNum, NetDiagPingSize, NetDiagPingTimeOut oraz NetDiagTracertHop. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9513Średnie
W Totolink CA750-PoE w wersji 6.2c.510 stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji NTPSyncWithHost pliku /cgi-bin/cstecgi.cgi. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem host_time. Exploit jest publicznie dostępny.
- CVE-2026-9512Średnie
W Totolink CA750-PoE w wersji 6.2c.510 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji setPasswordCfg pliku /cgi-bin/cstecgi.cgi. Atak może być przeprowadzony zdalnie poprzez manipulację argumentami admuser/admpass. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in Totolink CA750-PoE 6.2c.510. This affects the function setWebWlanIdx of the file /cgi-bin/cstecgi.cgi of the component Setting Handler. Such manipulation of the argument webWlanIdx leads to os command injection. It is possible to launch the attack remotely. The exploit is publicly available and might be used.