CVE-2026-5176：Totolink A3300R命令注入漏洞

在 Totolink A3300R 路由器版本 17.0.0cu.557_b20221024 中发现了一种命令注入漏洞 (CVE-2026-5176)。 /cgi-bin/cstecgi.cgi 文件中的 setSyslogCfg 函数容易受到参数操作的影响，允许攻击者在设备上执行任意命令。 根据 CVSS 的评估，此漏洞的严重程度评分为 7.3，表明存在重大风险。 漏洞利用程序的公开可用性和远程可利用性大大增加了解决此问题的紧迫性。 成功的攻击可能会使攻击者获得对路由器的控制权，从而危及路由器提供的网络。

Organizations relying on Totolink A3300R routers for their network infrastructure are at significant risk. This includes small and medium-sized businesses (SMBs), home users, and managed service providers (MSPs) who manage networks on behalf of their clients. The vulnerability is particularly concerning for those using the router as their primary internet gateway, as a compromise can expose the entire network to attack.

• linux / server:

journalctl -u cstecgi | grep -i "setSyslogCfg"

• generic web:

curl -s -X POST 'http://<router_ip>/cgi-bin/cstecgi.cgi' -d 'setSyslogCfg=<malicious_payload>' | grep '<malicious_payload>' # Check for command execution in the response

1. 2026-03-31Disclosure

   disclosure

1. 已保留2026-03-30
2. 发布日期2026-03-31
3. EPSS 更新日期2026-04-07

目前，Totolink 尚未为此漏洞提供官方补丁。 最有效的缓解措施是将路由器的固件更新到修复此漏洞的版本，如果且当 Totolink 发布更新时。 期间，建议实施额外的安全措施，例如限制对路由器管理界面的访问、使用强密码以及保持防火墙软件最新。 监控网络是否存在可疑活动也有助于检测和响应潜在攻击。 在应用解决方案之前，请考虑隔离受影响的网络。