CVE-2026-5102 Totolink A3300R 命令注入漏洞 (影响17.0.0cu.557)

在 Totolink A3300R 路由器版本 17.0.0cu.557b20221024 (CVE-2026-5102) 中发现了一种命令注入漏洞。此漏洞位于 /cgi-bin/cstecgi.cgi 文件的 setSmartQosCfg 函数中，特别是 qosup_bw 参数的处理方式。远程攻击者可以通过操纵此参数来在设备上执行任意命令。根据 CVSS 的评估，此漏洞的严重程度评为 6.3，表明中高风险。漏洞利用程序的公开可用性大大增加了实际攻击的风险。命令注入可能允许攻击者破坏路由器、访问内部网络、窃取敏感信息或完全控制设备。

Small and medium-sized businesses (SMBs) and home users relying on Totolink A3300R routers are at risk. Shared hosting environments where multiple users share the same router infrastructure are particularly vulnerable, as a compromised router could impact all hosted services. Users with legacy configurations or those who have not updated their router firmware regularly are also at increased risk.

• linux / server:

journalctl -u cstecgi -g "qos_up_bw" | grep -i "command injection"

• generic web:

curl -s 'http://<router_ip>/cgi-bin/cstecgi.cgi?qos_up_bw=;id;' | grep -i 'command injection'

1. 2026-03-30Disclosure

   disclosure

1. 已保留2026-03-29
2. 发布日期2026-03-30
3. EPSS 更新日期2026-04-06

Totolink 目前尚未发布此漏洞的修复程序（补丁）。最有效的缓解措施是将固件更新到解决此漏洞的较新版本。在此期间，建议采取额外的安全措施以降低被利用的风险。这包括将路由器的默认密码更改为强密码和唯一密码、禁用路由器管理界面中的远程访问（如果不需要），并保持路由器防火墙处于启用状态。监控网络流量以查找可疑活动也有助于检测和响应潜在攻击。有关未来固件更新的信息，请联系 Totolink。