Totolink A7100RU CGI cstecgi.cgi setNetworkCfg os 命令注入

在 Totolink A7100RU 路由器版本 7.4cu.2313_b20191024 中检测到一项关键漏洞。CVE-2026-6114 描述了文件 /cgi-bin/cstecgi.cgi 中函数 setNetworkCfg 的操作系统命令注入 (OS Command Injection) 漏洞。攻击者可以通过操纵 'proto' 参数来利用此漏洞，从而在设备上执行任意命令。该漏洞在 CVSS 评分系统中被评为 9.8，表明风险极高。公开的漏洞利用代码进一步加剧了这种情况，使恶意行为者更容易利用该漏洞。此漏洞可能允许攻击者控制路由器、访问本地网络并破坏连接的设备。

Small and medium-sized businesses (SMBs) and home users relying on the Totolink A7100RU router are at significant risk. Organizations with limited security resources or those using default router configurations are particularly vulnerable. Shared hosting environments utilizing this router also present a heightened risk, as a compromise could affect multiple tenants.

• linux / server:

journalctl -u cstecgi -g 'proto='

• generic web:

curl -s -H "Host: your_router_ip" /cgi-bin/cstecgi.cgi?proto=;id;ls -al | grep cstecgi

• linux / server:

ps aux | grep cstecgi

1. 2026-04-12Disclosure

   disclosure

2. 2026-04-12PoC

   poc

1. 已保留2026-04-11
2. 发布日期2026-04-12
3. 修改日期2026-04-14
4. EPSS 更新日期2026-04-19

目前，Totolink 尚未为此漏洞提供官方修复程序 (fix)。最有效的即时缓解措施是，在发布固件更新之前，将路由器从互联网断开连接。如果需要互联网连接，建议实施严格的防火墙规则，以限制来自外部网络的对路由器的访问。监控网络流量以检测可疑活动也有助于检测和响应潜在攻击。建议用户关注 Totolink 的任何安全公告，并在固件可用时尽快更新固件。考虑用具有更强大安全记录的模型替换路由器是一个长期的选择。