CVE-2026-124057
KrytyczneCVSS 9.1Streszczenie
W TOTOLINK CA300-PoE 6.2c.884 odkryto lukę w zabezpieczeniach funkcji setWiFiMultipleConfig w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem Key1Str1 prowadzi do przepełnienia bufora, a atak można zainicjować zdalnie. Exploit został publicznie udostępniony i może być wykorzystany.
Ocena ryzyka
Zdalny atakujący może wykorzystać przepełnienie bufora do wykonania dowolnego kodu lub spowodowania awarii urządzenia. Może to prowadzić do przejęcia kontroli nad urządzeniem i dalszych ataków w sieci.
Rekomendacja
Zaktualizuj oprogramowanie TOTOLINK CA300-PoE do najnowszej wersji, jeśli dostępna jest poprawka. W międzyczasie ogranicz dostęp do interfejsu zarządzania urządzeniem.
Inne podatności w TOTOLINK CA300-PoE
Zobacz wszystkie- CVE-2026-123961Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 wykryto podatność w funkcji setWiFiBasicConfig w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem KeyStr prowadzi do przepełnienia bufora. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-123960Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 funkcja setWanConfig w pliku /cgi-bin/cstecgi.cgi nieprawidłowo obsługuje argumenty pppoeUser/priDns/secDns, co prowadzi do przepełnienia bufora. Podatność może być wykorzystana zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-123959Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 funkcja setLanguageCfg w pliku /cgi-bin/cstecgi.cgi nieprawidłowo przetwarza argument langType, co prowadzi do przepełnienia bufora. Atak może być zainicjowany zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-123958Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 funkcja setLanConfig w pliku /cgi-bin/cstecgi.cgi nieprawidłowo obsługuje argumenty lanDns/lanSecDns/langType, co prowadzi do przepełnienia bufora. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-123957Krytyczne
W urządzeniu TOTOLINK CA300-PoE w wersji 6.2c.884 funkcja setIpQosRules w pliku /cgi-bin/cstecgi.cgi nieprawidłowo obsługuje argument ipStart, co prowadzi do przepełnienia bufora. Podatność można wykorzystać zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in TOTOLINK CA300-PoE 6.2c.884. This impacts the function setWiFiMultipleConfig of the file /cgi-bin/cstecgi.cgi. Performing a manipulation of the argument Key1Str1 results in buffer overflow. The attack can be initiated remotely. The exploit has been released to the public and may be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS