平台
linux
组件
totolink-a7100ru
修复版本
7.4.1
CVE-2026-5997 是一个在 Totolink A7100RU 设备中发现的命令注入漏洞，影响了版本 7.4cu.2313b20191024–7.4cu.2313b20191024。攻击者可以通过修改 /cgi-bin/cstecgi.cgi 文件的 setLoginPasswordCfg 函数中的 admpass 参数来执行任意操作系统命令，从而可能获得对设备的完全控制。由于该漏洞的利用方式已公开，因此存在严重的安全风险，建议用户尽快采取措施。
Totolink A7100RU 路由器版本 7.4cu.2313_b20191024 (CVE-2026-5997) 检测到关键漏洞。该漏洞，CVSS 评分 9.8，允许通过操纵文件 '/cgi-bin/cstecgi.cgi' 中 'setLoginPasswordCfg' 函数的 'admpass' 参数进行操作系统命令注入。受影响的组件是 CGI 处理程序。该漏洞的严重性在于其远程可利用性，使攻击者能够在路由器上执行任意命令，从而可能破坏其连接的网络。漏洞利用的公开可用性加剧了情况，因为它便于恶意行为者使用。强烈建议立即采取措施减轻此风险。
CVE-2026-5997 的漏洞利用程序已公开可用，这意味着攻击者可以轻松地利用它来破坏易受攻击的 Totolink A7100RU 设备。该漏洞位于文件 '/cgi-bin/cstecgi.cgi' 的 'setLoginPasswordCfg' 函数中，通过操纵 'admpass' 参数允许操作系统命令注入。攻击者可以发送专门设计的 HTTP 请求来利用此漏洞，从而使其能够以执行 CGI 进程的用户权限在路由器上执行命令。由于利用是远程的，因此不需要对设备进行物理访问。Totolink 缺乏官方修复程序使易受攻击的设备成为攻击者的有吸引力的目标。
Home and small business users relying on the Totolink A7100RU router are at significant risk. Shared hosting environments utilizing this router as part of their infrastructure are also vulnerable. Users with legacy configurations or those who have not updated their router firmware regularly are particularly susceptible.
• linux / server:
journalctl -u cstecgi -g 'command injection'• linux / server:
ps aux | grep cstecgi | grep -i 'admpass='• generic web:
curl -I http://<router_ip>/cgi-bin/cstecgi.cgi?admpass=;iddisclosure
poc
kev
漏洞利用状态
EPSS
1.25% (79% 百分位)
CISA SSVC
Totolink 尚未为此漏洞提供修复程序。最有效的即时缓解措施是，在发布固件更新之前，将路由器从互联网断开连接。如果无法做到这一点，建议将管理员密码更改为强大且唯一的密码，尽管这并不能完全消除风险。监控路由器是否存在可疑活动至关重要。用户应随时关注 Totolink 关于解决此漏洞的固件更新的公告。固件更新是最终解决方案，应在可用时应用。考虑对网络进行分段，以限制潜在入侵的影响。
Actualice el firmware del dispositivo Totolink A7100RU a una versión corregida que solucione la vulnerabilidad de inyección de comandos. Consulte el sitio web oficial de Totolink para obtener la última versión del firmware y las instrucciones de actualización.
漏洞分析和关键警报直接发送到您的邮箱。
CVSS 评分 9.8 表示存在潜在影响高的关键漏洞。
将管理员密码更改为强大且唯一的密码，并监控路由器是否存在可疑活动。
目前没有固件更新可用。随时关注 Totolink 的公告。
如果您拥有固件版本为 7.4cu.2313_b20191024 的 Totolink A7100RU，则它易受攻击。
这是一种允许攻击者在易受攻击设备的操作系统上执行任意命令的技术。
CVSS 向量