CVE-2026-6029: Injeção de comando de sistema operacional no CGI cstecgi.cgi do Totolink A7100RU (setVpnAccountCfg)
A CVE-2026-6029 é uma falha de injeção de comando de sistema operacional na função setVpnAccountCfg do handler CGI do Totolink A7100RU na versão 7.4cu.2313_b20191024, explorável remotamente pelo argumento User. A VulDB atribui pontuação 9.8 (crítica) pelo CVSS 3.1 e o registro aponta uma referência pública de exploit, mas os dados consultados não indicam inclusão no catálogo KEV nem exploração confirmada. Nenhuma versão corrigida aparece nas fontes, então os responsáveis devem confirmar o status de correção com o fabricante.
Visão geral
A CVE-2026-6029 afeta a função setVpnAccountCfg exposta pelo CGI Handler em /cgi-bin/cstecgi.cgi no Totolink A7100RU, versão 7.4cu.2313_b20191024. Segundo o registro da VulDB, o argumento User pode ser manipulado para provocar injeção de comando no sistema operacional, classificada como CWE-77. O registro indica que o problema pode ser acionado remotamente.
Impacto
- A VulDB atribui pontuação base CVSS 3.1 de 9.8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que descreve acesso pela rede, baixa complexidade, ausência de privilégios, ausência de interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
- Os dados SSVC do registro indicam impacto técnico total e automatizável igual a sim.
- Uma injeção de comando em roteador normalmente executa com os privilégios do serviço vulnerável; o registro não informa o nível exato de privilégio.
Produtos e versões afetadas
- Totolink A7100RU, versão 7.4cu.2313_b20191024, é a única versão listada no registro.
- Nenhuma versão corrigida é indicada nas fontes consultadas.
Status de exploração
- O registro afirma que o exploit está público e pode ser utilizado, e aponta um repositório de terceiros no GitHub marcado como referência de exploit. Esta análise não reproduz nem avalia esse material.
- A CVE não consta no catálogo KEV da CISA nos dados fornecidos, portanto não há exploração ativa confirmada (exploited in the wild) nas fontes consultadas.
- O registro informa probabilidade EPSS de 0.03253 (percentil 0.88051) e valor SSVC de exploração poc (prova de conceito).
Correção e mitigação
- Identifique se há dispositivos A7100RU com a versão de firmware listada e faça um inventário.
- Verifique com a Totolink a disponibilidade de atualizações de firmware; nenhuma versão corrigida é identificada nas fontes.
- Enquanto uma correção não for validada, remova a exposição da interface de gerenciamento remoto à internet, restrinja o acesso à interface web a redes confiáveis e desative recursos de contas VPN que não sejam necessários.
- Se o dispositivo não puder ser corrigido, planeje sua substituição ou desativação, sobretudo quando estiver acessível a partir de redes não confiáveis.
Orientações de detecção
- Revise os logs do servidor web e do dispositivo em busca de requisições incomuns ao handler cstecgi.cgi, especialmente as relacionadas à configuração de contas VPN.
- Monitore conexões de saída inesperadas, alterações de configuração ou reinicializações não explicadas no roteador.
- Trate novas contas desconhecidas ou alterações nas configurações VPN como possíveis indicadores de comprometimento e investigue-os.
Limitações das informações disponíveis
- O registro não inclui aviso do fabricante, versão de firmware corrigida, nem confirmação sobre outras linhas de firmware afetadas.
- O registro não descreve ataques observados na prática e não detalha requisitos de autenticação ou de sessão além do vetor remoto informado.
- As pontuações vêm da VulDB e de sua entrada como CNA; o registro não traz contexto adicional de pontuação.
- A data do EPSS no registro (2026-10-13) é posterior à data de publicação e deve ser verificada na fonte original.
Perguntas frequentes
Qual produto e versão da Totolink são afetados pela CVE-2026-6029?
O registro lista o Totolink A7100RU, versão 7.4cu.2313_b20191024, como única versão afetada.
A CVE-2026-6029 é explorada na prática?
A CVE não consta no catálogo KEV da CISA nos dados fornecidos, e as fontes consultadas não confirmam exploração na prática. O registro informa que existe uma referência pública de exploit.
O que os responsáveis devem fazer enquanto não há correção listada?
Restringir a exposição do gerenciamento remoto, limitar o acesso à interface web a redes confiáveis, desativar recursos de contas VPN desnecessários, verificar atualizações com o fabricante e desativar o dispositivo caso ele não possa ser corrigido.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.