CVE-2026-9531
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 76 - wyżej niż 76% wszystkich znanych CVE
Streszczenie
W routerze Totolink CA750-PoE w wersji 6.2c.510 w komponencie Setting Handler w pliku /cgi-bin/cstecgi.cgi funkcja setUpgradeUboot jest podatna na wstrzykiwanie poleceń systemu operacyjnego poprzez argument FileName. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia systemowe na urządzeniu, co może prowadzić do pełnej kompromitacji routera i sieci.
Rekomendacja
Należy natychmiast odłączyć urządzenie od sieci i skontaktować się z producentem w celu uzyskania aktualizacji. Jeśli nie jest dostępna, rozważ wymianę urządzenia.
Inne podatności w Totolink CA750-PoE
Zobacz wszystkie- CVE-2026-9534Średnie
W routerze Totolink CA750-PoE w wersji 6.2c.510 w komponencie Setting Handler w pliku /cgi-bin/cstecgi.cgi funkcja setWiFiWpsConfig jest podatna na wstrzykiwanie poleceń systemu operacyjnego poprzez argument PIN. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9533Średnie
W routerze Totolink CA750-PoE w wersji 6.2c.510 w komponencie Setting Handler w pliku /cgi-bin/cstecgi.cgi funkcja recvUpgradeNewFw jest podatna na wstrzykiwanie poleceń systemu operacyjnego poprzez argumenty fwUrl/magicid. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9532Średnie
W routerze Totolink CA750-PoE w wersji 6.2c.510 w komponencie Setting Handler w pliku /cgi-bin/cstecgi.cgi funkcja setUploadUserData jest podatna na wstrzykiwanie poleceń systemu operacyjnego poprzez argument FileName. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9515Średnie
W urządzeniu Totolink CA750-PoE w wersji 6.2c.510 wykryto podatność na wstrzykiwanie komend systemu operacyjnego. Problem występuje w funkcji setUnloadUserData w pliku /cgi-bin/cstecgi.cgi, gdzie atakujący może manipulować argumentem plugin_version. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9514Średnie
W urządzeniu Totolink CA750-PoE w wersji 6.2c.510 wykryto podatność na wstrzykiwanie komend systemu operacyjnego. Problem dotyczy funkcji setNetworkDiag w pliku /cgi-bin/cstecgi.cgi, gdzie atakujący może manipulować argumentami NetDiagHost, NetDiagPingNum, NetDiagPingSize, NetDiagPingTimeOut oraz NetDiagTracertHop. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9513Średnie
W Totolink CA750-PoE w wersji 6.2c.510 stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji NTPSyncWithHost pliku /cgi-bin/cstecgi.cgi. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem host_time. Exploit jest publicznie dostępny.
- CVE-2026-9512Średnie
W Totolink CA750-PoE w wersji 6.2c.510 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji setPasswordCfg pliku /cgi-bin/cstecgi.cgi. Atak może być przeprowadzony zdalnie poprzez manipulację argumentami admuser/admpass. Exploit jest publicznie dostępny.
- CVE-2026-9511Średnie
W Totolink CA750-PoE w wersji 6.2c.510 stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji setWebWlanIdx pliku /cgi-bin/cstecgi.cgi. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem webWlanIdx. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in Totolink CA750-PoE 6.2c.510. Impacted is the function setUpgradeUboot of the file /cgi-bin/cstecgi.cgi of the component Setting Handler. This manipulation of the argument FileName causes os command injection. The attack is possible to be carried out remotely. The exploit has been made available to the public and could be used for attacks.