CVE-2026-9532
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 76 - wyżej niż 76% wszystkich znanych CVE
Streszczenie
W routerze Totolink CA750-PoE w wersji 6.2c.510 w komponencie Setting Handler w pliku /cgi-bin/cstecgi.cgi funkcja setUploadUserData jest podatna na wstrzykiwanie poleceń systemu operacyjnego poprzez argument FileName. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne polecenia systemowe na urządzeniu, co może prowadzić do pełnej kompromitacji routera i sieci.
Rekomendacja
Należy natychmiast odłączyć urządzenie od sieci i skontaktować się z producentem w celu uzyskania aktualizacji. Jeśli nie jest dostępna, rozważ wymianę urządzenia.
Inne podatności w Totolink CA750-PoE
Zobacz wszystkie- CVE-2026-9534Średnie
W routerze Totolink CA750-PoE w wersji 6.2c.510 w komponencie Setting Handler w pliku /cgi-bin/cstecgi.cgi funkcja setWiFiWpsConfig jest podatna na wstrzykiwanie poleceń systemu operacyjnego poprzez argument PIN. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9533Średnie
W routerze Totolink CA750-PoE w wersji 6.2c.510 w komponencie Setting Handler w pliku /cgi-bin/cstecgi.cgi funkcja recvUpgradeNewFw jest podatna na wstrzykiwanie poleceń systemu operacyjnego poprzez argumenty fwUrl/magicid. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9531Średnie
W routerze Totolink CA750-PoE w wersji 6.2c.510 w komponencie Setting Handler w pliku /cgi-bin/cstecgi.cgi funkcja setUpgradeUboot jest podatna na wstrzykiwanie poleceń systemu operacyjnego poprzez argument FileName. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9515Średnie
W urządzeniu Totolink CA750-PoE w wersji 6.2c.510 wykryto podatność na wstrzykiwanie komend systemu operacyjnego. Problem występuje w funkcji setUnloadUserData w pliku /cgi-bin/cstecgi.cgi, gdzie atakujący może manipulować argumentem plugin_version. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9514Średnie
W urządzeniu Totolink CA750-PoE w wersji 6.2c.510 wykryto podatność na wstrzykiwanie komend systemu operacyjnego. Problem dotyczy funkcji setNetworkDiag w pliku /cgi-bin/cstecgi.cgi, gdzie atakujący może manipulować argumentami NetDiagHost, NetDiagPingNum, NetDiagPingSize, NetDiagPingTimeOut oraz NetDiagTracertHop. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9513Średnie
W Totolink CA750-PoE w wersji 6.2c.510 stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji NTPSyncWithHost pliku /cgi-bin/cstecgi.cgi. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem host_time. Exploit jest publicznie dostępny.
- CVE-2026-9512Średnie
W Totolink CA750-PoE w wersji 6.2c.510 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji setPasswordCfg pliku /cgi-bin/cstecgi.cgi. Atak może być przeprowadzony zdalnie poprzez manipulację argumentami admuser/admpass. Exploit jest publicznie dostępny.
- CVE-2026-9511Średnie
W Totolink CA750-PoE w wersji 6.2c.510 stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji setWebWlanIdx pliku /cgi-bin/cstecgi.cgi. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem webWlanIdx. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in Totolink CA750-PoE 6.2c.510. The affected element is the function setUploadUserData of the file /cgi-bin/cstecgi.cgi of the component Setting Handler. Such manipulation of the argument FileName leads to os command injection. The attack may be performed from remote. The exploit has been disclosed publicly and may be used.