CVE-2026-1547: Injeção de comando no firmware Totolink A7000R em cstecgi.cgi

Visão geral

A CVE-2026-1547 descreve uma vulnerabilidade de injeção de comando (CWE-77) no firmware Totolink A7000R, versão 4.1cu.4154. Segundo o registro, a falha está na função setUnloadUserData do manipulador /cgi-bin/cstecgi.cgi, onde a manipulação do argumento plugin_name leva à injeção de comandos. O registro foi publicado em 28/01/2026 e seu status é Analyzed. As descrições públicas principais vêm da VulDB e da entrada na NVD.

Impacto

A injeção de comando pode permitir que um atacante execute comandos do sistema operacional no dispositivo afetado, com os privilégios do serviço vulnerável. A NVD atribui pontuação base 9.8 no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica vetor de rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade. Outras pontuações fornecidas pela CNA no registro são menores, portanto a severidade depende da fonte de pontuação considerada.

Produtos e versões afetadas

Firmware Totolink A7000R, versão 4.1cu.4154, conforme listado no registro.
O registro não informa se outras versões ou revisões de hardware são afetadas. A faixa de versões afetadas é desconhecida.

Status de exploração

O registro afirma que o exploit está público e pode ser utilizado.
A CVE não consta no catálogo KEV da CISA no registro (listed: false), portanto não há exploração ativa confirmada nas fontes consultadas.
Há uma referência pública de exploit listada no GitHub. Este artigo não descreve o conteúdo dela.

Correção e mitigação

O registro não lista versão corrigida. Consulte o site da Totolink e os canais de suporte do fabricante em busca de atualizações de firmware para o A7000R.
Reduza a exposição: não deixe as interfaces de administração ou CGI do equipamento acessíveis pela internet e restrinja o acesso a redes de gestão confiáveis.
Mantenha dispositivos IoT e roteadores em redes segmentadas, para que um equipamento comprometido tenha alcance limitado.
Verifique se algum equipamento afetado está exposto à internet e priorize-o na análise.
Considere substituir ou desativar o equipamento caso não haja correção do fabricante e o risco não possa ser contido.

Orientação para detecção

Analise os logs do servidor web e de acesso CGI em busca de requisições inesperadas a /cgi-bin/cstecgi.cgi, especialmente de origens desconhecidas.
Monitore o equipamento quanto a conexões de saída inesperadas, novos processos ou alterações de configuração.
Mantenha o inventário de versões de firmware para identificar unidades A7000R executando 4.1cu.4154.

Limitações das informações disponíveis

O registro não informa versão corrigida, aviso oficial do fabricante nem lista confirmada de versões afetadas.
Os campos EPSS e SSVC estão vazios, portanto a probabilidade de exploração não está quantificada no registro.
As pontuações divergem entre fontes: a NVD fornece 9.8 no CVSS 3.1, enquanto a CNA (cna@vuldb.com) fornece outras pontuações nas versões 4.0, 3.1 e 2.0 do CVSS.
Detalhes da resposta do fabricante são desconhecidos.

Perguntas frequentes

O que é a CVE-2026-1547?

É uma falha de injeção de comando (CWE-77) relatada no firmware Totolink A7000R versão 4.1cu.4154, na função setUnloadUserData do arquivo /cgi-bin/cstecgi.cgi.

Esta vulnerabilidade está sendo explorada ativamente?

A CVE não consta no catálogo KEV da CISA no registro, portanto não há exploração ativa confirmada nas fontes consultadas. O registro afirma que existe exploit público.

Existe versão corrigida?

O registro não lista versão corrigida. Isso não confirma que não exista correção; consulte o site e os canais de suporte do fabricante.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.