CVE-2026-6131: Injeção de comando do sistema em Totolink A7100RU via setTracerouteCfg

Visão geral

A CVE-2026-6131 afeta o firmware do roteador Totolink A7100RU 7.4cu.2313_b20191024. Segundo o registro, a função setTracerouteCfg, exposta pelo componente CGI Handler em /cgi-bin/cstecgi.cgi, não trata adequadamente o argumento command, o que permite injeção de comando do sistema operacional (CWE-77). O registro foi publicado em 12/04/2026 pela CNA VulDB.

Impacto

A CNA atribui nota 9,8 (crítica) no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que descreve exploração pela rede, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
Injeção de comando em dispositivo de rede pode permitir que um atacante execute comandos do sistema operacional do equipamento; as consequências práticas dependem da configuração e da exposição do dispositivo.

Produtos e versões afetados

Produto citado no registro: Totolink A7100RU, firmware 7.4cu.2313_b20191024.
Os campos estruturados de produtos e versões afetadas no registro estão vazios, por isso a faixa completa de versões afetadas é desconhecida.
O registro não informa versão corrigida. Isso não significa que não exista correção; o site do fabricante citado nas referências deve ser consultado.

Status de exploração

A CVE não consta no catálogo KEV da CISA no registro analisado.
O registro afirma que o exploit foi tornado público e pode ser utilizado. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
A probabilidade EPSS no registro é 0,03253, com percentil 0,8806, conforme informado no próprio registro.

Correção e mitigação

Consulte o site do fabricante em busca de atualização de firmware ou comunicado para o A7100RU e atualize para a versão que o fabricante indicar como corrigida.
Enquanto a correção não for confirmada, restrinja o acesso à interface de gerenciamento do dispositivo, retire a exposição da interface web administrativa a redes não confiáveis e limite o acesso a administradores autorizados.
Verifique se o equipamento é acessível pela internet e, em caso afirmativo, isole-o ou substitua-o conforme a política de ativos da organização.

Orientações de detecção

Revise os logs do servidor web e de acesso ao CGI em busca de requisições inesperadas a /cgi-bin/cstecgi.cgi, especialmente de origens desconhecidas.
Monitore o dispositivo em busca de conexões de saída inesperadas ou alterações de configuração, comparando-o com uma linha de base conhecida.
Faça o inventário de todos os dispositivos Totolink A7100RU e suas versões de firmware para identificar os que correspondem à versão afetada.

Limitações das informações disponíveis

O registro não traz versão corrigida, faixa de versões afetadas além da string de firmware citada e nenhum comunicado oficial do fabricante.
O campo de status do registro é Deferred, cujo significado não é explicado.
O exploit público mencionado no registro não é analisado aqui; este conteúdo omite deliberadamente detalhes técnicos de exploração.
O registro contém uma data de EPSS de 2026-10-13, que deve ser verificada na fonte antes do uso.

Perguntas frequentes

O que é a CVE-2026-6131?

É uma vulnerabilidade de injeção de comando do sistema operacional (CWE-77) na função setTracerouteCfg do firmware Totolink A7100RU 7.4cu.2313_b20191024, acessível pelo arquivo /cgi-bin/cstecgi.cgi, segundo o registro.

Há exploração confirmada na natureza?

A CVE não consta no catálogo KEV da CISA no registro, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O registro afirma que existe exploit público.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.