CVE-2026-5851: Injeção de Comando no SO no setUPnPCfg do Totolink A7100RU
A CVE-2026-5851 é uma falha de injeção de comando na função setUPnPCfg do componente CGI Handler do firmware Totolink A7100RU 7.4cu.2313_b20191024, acessível remotamente pelo caminho /cgi-bin/cstecgi.cgi. A CNA VulDB atribui pontuação 9,8 no CVSS 3.1, e o registro informa que um exploit foi divulgado publicamente. O registro não aponta inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas.
Visão geral
Foi divulgada uma falha de segurança no Totolink A7100RU, identificado no registro como firmware 7.4cu.2313_b20191024. O problema está na função setUPnPCfg, acessada pelo caminho /cgi-bin/cstecgi.cgi do componente CGI Handler. A fraqueza é classificada como CWE-77 (injeção de comando), o que significa que entradas tratadas pela função podem influenciar comandos do sistema operacional. O registro foi publicado em 09/04/2026 pela CNA VulDB e está com status de origem Deferred.
Impacto
A CNA VulDB atribui pontuação 9,8 no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Segundo esse vetor, o ataque é feito pela rede, não exige privilégios nem interação do usuário e pode afetar confidencialidade, integridade e disponibilidade em nível alto. A mesma CNA também informa pontuação 8,9 no CVSS 4.0 e pontuação 10 no CVSS 2.0.
Produtos e versões afetadas
- Produto citado no registro: Totolink A7100RU.
- Versão citada no registro: 7.4cu.2313_b20191024.
- A lista estruturada de versões afetadas está vazia, portanto o alcance exato das versões é desconhecido além da versão mencionada na descrição.
- O registro não traz versão corrigida. Isso não significa que não exista correção; significa que os dados disponíveis não a mostram.
Status de exploração
O registro informa que um exploit foi divulgado publicamente e pode ser usado em ataques. A entrada no catálogo KEV da CISA está marcada como não listada, portanto esta análise não descreve a vulnerabilidade como explorada ativamente na natureza. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS é 0,03253, com percentil 0,8805, conforme registrado para a data 2026-10-13.
Correção e mitigação
- Consulte o site do fabricante em totolink.net em busca de atualizações de firmware para o A7100RU e aplique qualquer atualização que trate este problema.
- Como o registro não lista versão corrigida, trate todos os dispositivos não atualizados como expostos até que o fabricante confirme uma correção.
- Não exponha a interface administrativa nem as interfaces CGI do equipamento à internet. Mantenha-as em uma rede de gerenciamento restrita.
- Se o UPnP não for necessário, desative-o no equipamento, já que a função afetada faz parte do caminho de configuração do UPnP.
- Substitua equipamentos que o fabricante não suporte mais por modelos com manutenção ativa.
Orientações para detecção
- Faça o inventário de todos os dispositivos Totolink A7100RU e registre suas versões de firmware.
- Revise os logs de rede em busca de tráfego de entrada inesperado chegando à interface web ou CGI do equipamento a partir de origens não confiáveis.
- Monitore o comportamento do equipamento em busca de conexões de saída inesperadas ou alterações de configuração, que podem indicar abuso de uma falha de execução de comandos.
- Encaminhe os logs de dispositivos de borda para um sistema central para retenção e análise.
Limitações das informações disponíveis
As fontes consultadas são o registro CVE, as páginas do NVD e do CVE.org, a entrada da VulDB e um repositório público no GitHub citado no registro. O registro não contém aviso do fabricante, versão corrigida, faixa de versões afetadas além da versão única citada, nem confirmação independente do exploit. As pontuações CVSS vêm da CNA. A data de referência do EPSS é posterior à data de publicação, portanto os valores EPSS devem ser revalidados em uma fonte atual.
Perguntas frequentes
O que é a CVE-2026-5851?
É uma falha de injeção de comando (CWE-77) na função setUPnPCfg do componente CGI Handler do firmware Totolink A7100RU 7.4cu.2313_b20191024, acessível remotamente.
Esta vulnerabilidade está sendo explorada ativamente?
O registro informa que existe um exploit público, mas ela não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Existe versão corrigida?
O registro não lista versão corrigida. Deve-se verificar o site do fabricante em busca de atualizações e tratar os equipamentos como expostos até a confirmação de uma correção.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.