CVE-2026-5103 Totolink A3300R 命令注入漏洞 (影响17.0.0cu.557)

Totolink A3300R 路由器版本 17.0.0cu.557_b20221024 (CVE-2026-5103) 存在命令注入漏洞。该漏洞位于 /cgi-bin/cstecgi.cgi 文件的 setUPnPCfg 函数中。通过恶意操纵 enable 参数，攻击者可以在设备上执行任意命令。该漏洞的 CVSS 评分是 6.3，表明中等严重程度。允许远程利用，这意味着攻击者无需物理访问即可破坏路由器。公开可用的漏洞利用显著增加了定向攻击的风险。成功利用可能使攻击者获得对路由器的控制权、访问内部网络以及潜在地破坏连接的设备。

Small and medium-sized businesses (SMBs) and home users relying on the Totolink A3300R router are at significant risk. Organizations with multiple Totolink A3300R routers deployed in their networks face a broader attack surface. Users with exposed routers or those lacking robust network security practices are particularly vulnerable.

• linux / server:

journalctl -u cstecgi -g 'command injection'

• generic web:

curl -I 'http://<router_ip>/cgi-bin/cstecgi.cgi?enable=<suspicious_input>' | grep 'HTTP/1.1 500' # Check for error responses indicating command execution failure

1. 2026-03-30Disclosure

   disclosure

1. 已保留2026-03-29
2. 发布日期2026-03-30
3. EPSS 更新日期2026-04-06

目前，Totolink 尚未为此漏洞提供官方修复程序（KEV：无）。最有效的缓解措施是避免使用此路由器，直到发布固件更新。作为临时措施，建议对网络进行分段，以限制路由器对敏感设备的访问。在路由器配置中禁用 UPnP（通用即插即用）可以减少攻击面，尽管这可能会影响某些应用程序的功能。监控网络流量以查找可疑活动也可以帮助检测和响应潜在攻击。强烈建议用户随时关注 Totolink 的任何安全公告，并在可用时更新固件。