Totolink A7100RU CGI cstecgi.cgi setVpnPassCfg os command injection

Totolink A7100RU राउटर (संस्करण 7.4cu.2313_b20191024) में एक गंभीर भेद्यता (CVE-2026-5850) की पहचान की गई है। यह भेद्यता ऑपरेटिंग सिस्टम कमांड इंजेक्शन (OS command injection) दोष है, जो CGI हैंडलर घटक द्वारा संसाधित /cgi-bin/cstecgi.cgi फ़ाइल के setVpnPassCfg फ़ंक्शन में स्थित है। एक दूरस्थ हमलावर pptpPassThru तर्क को हेरफेर करके इस भेद्यता का फायदा उठा सकता है, जिससे वह डिवाइस पर मनमाना कमांड निष्पादित कर सकता है। इस भेद्यता की गंभीरता को CVSS पैमाने पर 9.8 के रूप में रेट किया गया है, जो उच्च जोखिम दर्शाता है। एक कार्यात्मक शोषण की सार्वजनिक उपलब्धता शोषण के जोखिम को काफी बढ़ा देती है।

Small and medium-sized businesses (SMBs) and home users who rely on the Totolink A7100RU router for their internet connectivity are at significant risk. Shared hosting environments utilizing this router as a gateway are particularly vulnerable, as a compromise could impact multiple tenants. Users with default router configurations or those who have not updated their firmware are also at increased risk.

• linux / server:

journalctl -u cstecgi -g 'pptpPassThru'

• linux / server:

ps aux | grep cstecgi | grep pptpPassThru

• generic web:

curl -I http://<router_ip>/cgi-bin/cstecgi.cgi?pptpPassThru=$(id)

1. 2026-04-09Disclosure

   disclosure

1. आरक्षित2026-04-08
2. प्रकाशित2026-04-09
3. संशोधित2026-04-13
4. EPSS अद्यतन2026-04-16

वर्तमान में, Totolink इस भेद्यता के लिए कोई आधिकारिक फिक्स प्रदान नहीं करता है। सबसे प्रभावी शमन उपाय राउटर के फर्मवेयर को इस दोष को ठीक करने वाले नवीनतम संस्करण में अपडेट करना है। कोई अपडेट उपलब्ध नहीं होने के कारण, राउटर को सार्वजनिक नेटवर्क से अलग करने और केवल विश्वसनीय उपयोगकर्ताओं और उपकरणों तक पहुंच को प्रतिबंधित करने की दृढ़ता से अनुशंसा की जाती है। राउटर पर अनधिकृत ट्रैफ़िक को ब्लॉक करने के लिए सख्त फ़ायरवॉल नियमों को लागू करना भी जोखिम को कम करने में मदद कर सकता है। राउटर की संदिग्ध गतिविधि के लिए सक्रिय रूप से निगरानी करना महत्वपूर्ण है। नियमित सुरक्षा अपडेट प्राप्त करने वाले मॉडल के साथ राउटर को बदलने पर विचार करें।