CVE-2026-114575
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 83 - wyżej niż 83% wszystkich znanych CVE
Streszczenie
W TOTOLINK A950RG 4.1.2cu.5268_B20221104 funkcja UploadCustomModule w pliku lib/cste_modules/product.so jest podatna na iniekcję poleceń poprzez manipulację argumentem FileMd5. Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być wykorzystany.
Ocena ryzyka
Możliwe zdalne wykonanie poleceń na urządzeniu, co może prowadzić do przejęcia kontroli nad routerem i siecią.
Rekomendacja
Zaktualizuj oprogramowanie routera do najnowszej wersji. Jeśli poprawka nie jest dostępna, rozważ ograniczenie dostępu do interfejsu zarządzania.
Inne podatności w TOTOLINK A950RG
Zobacz wszystkie- CVE-2026-116508Krytyczne
TOTOLINK A950RG 4.1.2cu.5268_B20221104 zawiera podatność na przepełnienie bufora na stosie w funkcji sub_402340 pliku infostat.cgi (komponent Device-Information CGI). Manipulacja argumentem CONTENT_LENGTH prowadzi do przepełnienia, a exploit jest publicznie dostępny.
- CVE-2026-116506Krytyczne
W urządzeniu TOTOLINK A950RG (wersja 4.1.2cu.5268_B20221104) funkcja apmib_set w pliku firewall.so jest podatna na wstrzyknięcie poleceń. Podatność może być wykorzystana zdalnie, a publiczny exploit jest dostępny.
- CVE-2026-116505Krytyczne
W urządzeniu TOTOLINK A950RG (wersja 4.1.2cu.5268_B20221104) funkcja getDeviceInfo w pliku /var/lib/misc/udhcpd.leases jest podatna na wstrzyknięcie poleceń poprzez manipulację argumentem adresu MAC. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-116504Krytyczne
W urządzeniu TOTOLINK A950RG (wersja 4.1.2cu.5268_B20221104) funkcja setCloudUpgradeFW w pliku lib/cste_modules/upgrade.so jest podatna na wstrzyknięcie poleceń poprzez manipulację argumentem FileName. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-116507Średnie
W TOTOLINK A950RG 4.1.2cu.5268_B20221104 funkcja getLanguageCfg w pliku global.so ujawnia informacje przy manipulacji argumentem token. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in TOTOLINK A950RG 4.1.2cu.5268_B20221104. Affected by this issue is the function UploadCustomModule of the file lib/cste_modules/product.so. Executing a manipulation of the argument FileMd5 can lead to command injection. The attack can be launched remotely. The exploit has been published and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS