CVE-2026-5020 Totolink A3600R 命令注入漏洞分析

在 Totolink A3600R 路由器中检测到一项关键漏洞，具体位于版本 4.1.2cu.5182_B20201102。该漏洞存在于文件 /cgi-bin/cstecgi.cgi 中的 setNoticeCfg 函数中，该函数负责参数处理。攻击者可以通过操纵 NoticeUrl 参数在设备上注入并执行任意命令。该漏洞的严重程度评分为 CVSS 6.3，表明中高风险。该漏洞可以远程利用，这意味着攻击者可以从任何具有网络访问权限的位置利用此漏洞。令人担忧的是，该漏洞利用程序现在已公开可用，从而大大增加了攻击的风险。

Small and medium-sized businesses (SMBs) and home users relying on the Totolink A3600R router are at significant risk. Shared hosting environments where multiple users share the same router infrastructure are particularly vulnerable, as a single compromised router can impact all hosted services. Users with legacy configurations or those who have not regularly updated their router firmware are also at increased risk.

• linux / server:

journalctl -u cstecgi | grep -i "NoticeUrl"

• generic web:

curl -s -X POST "http://<router_ip>/cgi-bin/cstecgi.cgi?NoticeUrl=<malicious_payload>" | grep -i "<malicious_payload>"

1. 2026-03-29Disclosure

   disclosure

1. 已保留2026-03-27
2. 发布日期2026-03-29
3. 修改日期2026-04-01
4. EPSS 更新日期2026-04-04

目前，Totolink 尚未发布此漏洞的修复程序。最直接有效的缓解措施是，如果可用，将路由器的固件更新到最新版本。如果没有可用更新，建议将路由器从公共网络隔离，仅限制对本地网络中受信任设备的访问。考虑实施严格的防火墙规则，以阻止对文件 /cgi-bin/cstecgi.cgi 的未经授权的访问。监控网络是否存在可疑活动，并随时关注 Totolink 关于解决方案的官方公告。缺乏官方补丁使得此漏洞尤其令人担忧，并需要立即关注。