CVE-2026-6139: Totolink A7100RU: injeção de comando do sistema operacional em UploadOpenVpnCert

Visão geral

A CVE-2026-6139 afeta a função UploadOpenVpnCert acessada por /cgi-bin/cstecgi.cgi no CGI Handler do Totolink A7100RU, versão 7.4cu.2313_b20191024. Segundo o registro, a manipulação do argumento FileName leva a injeção de comando no sistema operacional (CWE-77). A CNA é a VulDB, e os detalhes também constam na entrada VulDB 357003.

Impacto

O vetor CVSS 3.1 publicado pela CNA é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que descreve ataque pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
A CNA também informa pontuação CVSS 4.0 de 8.9 e CVSS 2.0 de 10.
Uma injeção de comando bem-sucedida em um roteador normalmente permite executar comandos no contexto do equipamento. O alcance exato depende da configuração do dispositivo, que as fontes não detalham.

Produtos e versões afetadas

Produto citado no registro: Totolink A7100RU, versão 7.4cu.2313_b20191024.
A lista estruturada de versões afetadas no registro está vazia, portanto outras versões ou builds de firmware não podem ser confirmadas a partir dele.
Informações do fabricante estão disponíveis em Totolink.

Status de exploração

O registro afirma que o exploit foi divulgado publicamente e pode ser utilizado.
O CISA KEV não lista esta CVE, portanto não há exploração ativa reportada no catálogo KEV.
Não há exploração confirmada na natureza nas fontes consultadas.
O registro informa probabilidade EPSS de 0.03253, com percentil de 0.88053.

Correção e mitigação

Nenhuma versão corrigida consta no registro. A ausência de correção listada não significa que ela não exista, por isso verifique o fabricante e o aviso da VulDB para atualizações.
Até que uma atualização seja verificada, restrinja o acesso à interface administrativa do roteador a redes confiáveis, desative o gerenciamento remoto quando não for necessário e evite expor o equipamento diretamente à internet.
Isole ou substitua dispositivos que não possam ser atualizados, especialmente os que executam o build listado.

Orientações de detecção

Revise os logs de acesso à interface web e aos CGIs em busca de requisições inesperadas ao endpoint cstecgi.cgi, principalmente de origens desconhecidas.
Monitore os equipamentos quanto a alterações de configuração inesperadas, arquivos desconhecidos ou conexões de saída originadas do roteador.
Analise o README no GitHub citado no registro e valide quaisquer indicadores de forma independente antes de depender deles.

Limitações das informações disponíveis

O registro não traz título da fonte, não há faixa de versões afetadas além do build único citado e não há versão corrigida.
A disponibilidade de correção, a resposta do fabricante e se outros builds de firmware são afetados são desconhecidos nas fontes consultadas.
O registro contém apenas pontuações CVSS fornecidas pela CNA, sem avaliação separada.
A página de CTI da VulDB é citada, mas seu conteúdo não foi fornecido no registro.

Perguntas frequentes

Esta CVE está sendo explorada ativamente?

O CISA KEV não lista esta CVE, portanto ela não é reportada como explorada ativamente por lá. O registro diz que o exploit foi divulgado publicamente, mas não há exploração confirmada na natureza nas fontes consultadas.

Qual equipamento e versão Totolink são afetados?

O registro cita o Totolink A7100RU, versão 7.4cu.2313_b20191024. A lista estruturada de versões afetadas está vazia, então outras versões não podem ser confirmadas pelo registro.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.