CVE-2026-5020: Injeção de comando em setNoticeCfg do Totolink A3600R
A VulDB relata injeção de comando remota na função setNoticeCfg do Totolink A3600R, acionada pelo argumento NoticeUrl. A NVD classifica como crítica, com pontuação base CVSS de 9.8. Há referência de exploit público, mas a CVE não consta no KEV da CISA e o registro não indica versão corrigida.
Visão geral
A VulDB relata uma falha de injeção de comando na função setNoticeCfg do handler /cgi-bin/cstecgi.cgi do Totolink A3600R, firmware 4.1.2cu.5182_B20201102. O argumento NoticeUrl é o campo manipulado. A NVD atribui pontuação base CVSS de 9.8 (crítica). Veja NVD e VulDB.
Impacto
- O registro descreve injeção de comando que pode ser disparada remotamente.
- A avaliação da NVD indica vetor de rede, sem privilégios exigidos e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
- As consequências exatas dependem da configuração do equipamento e não são detalhadas nas fontes.
Produtos e versões afetadas
- Totolink A3600R, versão 4.1.2cu.5182_B20201102.
- Totolink A3600r Firmware, versão 4.1.2cu.5182_b20201102.
- Nenhuma outra versão aparece nas fontes consultadas.
Status de exploração
Esta CVE não consta no catálogo KEV da CISA. Não há exploração confirmada no ambiente real nas fontes consultadas. A descrição da VulDB afirma que o exploit é público e pode ser usado, e há uma referência de terceiros marcada como exploit. Os dados SSVC indicam exploração como poc e automatizável como não.
Correção e mitigação
- O registro não lista versão corrigida. Verifique atualizações de firmware do fabricante em Totolink.
- Restrinja o acesso à interface de gerenciamento e não a exponha à internet.
- Revise e limite configurações de notificação ou relacionadas a URL sempre que possível.
- Planeje a substituição do equipamento caso não haja atualização com suporte.
Orientação para detecção
- Monitore o tráfego da interface de gerenciamento direcionado a cstecgi.cgi em busca de requisições inesperadas de origens não confiáveis.
- Revise a configuração do equipamento em busca de alterações não esperadas em parâmetros de notificação.
- Observe conexões de saída incomuns originadas do roteador.
Limitações das informações disponíveis
- O registro não informa versão corrigida nem patch do fabricante.
- Não há detalhes sobre o tratamento exato da entrada, e esta análise não os descreve.
- A probabilidade EPSS é 0.03714, com percentil de 0.89723.
- O registro não inclui aviso detalhado do fabricante.
Perguntas frequentes
Esta CVE está sendo explorada ativamente?
Ela não consta no KEV da CISA, e não há exploração confirmada no ambiente real nas fontes consultadas. A entrada da VulDB afirma que existe exploit público e que ele pode ser usado.
Quais versões do Totolink A3600R são afetadas?
O registro lista o Totolink A3600R e seu firmware na versão 4.1.2cu.5182_B20201102, com a grafia em minúsculas 4.1.2cu.5182_b20201102 também listada. Nenhuma outra versão aparece nas fontes.
Existe correção?
O registro não lista versão corrigida. Verifique atualizações do fabricante e restrinja o acesso à interface de gerenciamento até que uma correção seja confirmada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.