CVE-2026-6154: Injeção de comando do SO em setWizardCfg no Totolink A7100RU

Visão geral

O registro descreve uma falha de injeção de comando (CWE-77) na função setWizardCfg do arquivo /cgi-bin/cstecgi.cgi, parte do componente CGI Handler do Totolink A7100RU com firmware 7.4cu.2313_b20191024. Segundo o registro, a manipulação do argumento wizard leva à execução de comandos do sistema operacional. A entrada foi publicada pela VulDB como CNA em 13/04/2026 e aparece com status Deferred. Consulte a entrada da VulDB e o registro CVE.

Impacto

O vetor CVSS 3.1 do registro é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica vetor de rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
O registro atribui 9.8 no CVSS 3.1, 8.9 no CVSS 4.0 e 10 no CVSS 2.0, todos fornecidos pela CNA.
Como se trata de injeção de comando, um ataque bem-sucedido executaria comandos com os privilégios do serviço vulnerável no equipamento. O nível exato de privilégio não consta no registro.

Produtos e versões afetadas

A única versão afetada citada no registro é o Totolink A7100RU 7.4cu.2313_b20191024. A lista estruturada de afetados está vazia, portanto outras versões ou revisões de hardware não podem ser confirmadas com as fontes disponíveis. Informações do fabricante estão em Totolink.

Status de exploração

O registro informa que o exploit foi divulgado publicamente e pode ser usado em ataques. Este CVE não consta no catálogo CISA KEV segundo o registro, portanto as fontes consultadas não demonstram exploração ativa confirmada no mundo real. O valor EPSS do registro é 0,03253 (percentil 0,88054), datado de 13/10/2026, e estima a probabilidade de atividade de exploração; deve ser interpretado considerando essa data.

Correção e mitigação

O registro não lista versão corrigida nem patch. Verifique o site da Totolink e os canais de suporte do fabricante para atualizações de firmware do A7100RU.
Se não houver atualização, reduza a exposição: retire a interface de administração de acessos vindos da internet, restrinja o acesso a redes administrativas confiáveis e desative a administração remota quando não for necessária.
Posicione os equipamentos afetados em segmentos de rede isolados, para que um roteador comprometido não alcance sistemas internos sensíveis.
Se o modelo não tiver mais suporte ou não houver correção publicada, planeje a substituição por hardware suportado.

Orientações de detecção

Analise os logs do servidor web e do equipamento em busca de requisições inesperadas ao handler cstecgi.cgi, especialmente de origens desconhecidas ou em horários incomuns.
Observe conexões de saída inesperadas ou alterações de configuração originadas no roteador, que podem indicar atividade após o comprometimento.
Monitore mudanças nas configurações, nas contas administrativas e na versão do firmware.

Limitações das informações disponíveis

O registro não traz versão corrigida, lista completa de versões afetadas, aviso oficial do fabricante nem análise técnica detalhada da causa raiz. A existência do exploit é informada na descrição, mas seu conteúdo não é analisado aqui. O registro lista um repositório de terceiros, cujo conteúdo não foi revisado para esta análise. Os valores de severidade vêm da CNA e podem mudar conforme surgirem novas informações.

Perguntas frequentes

O CVE-2026-6154 está sendo explorado ativamente?

O registro informa que um exploit público foi divulgado, mas este CVE não consta no CISA KEV e as fontes consultadas não confirmam exploração ativa no mundo real.

Quais equipamentos são afetados?

O registro cita o Totolink A7100RU com firmware 7.4cu.2313_b20191024. A lista estruturada de afetados está vazia, então outras versões não podem ser confirmadas.

Existe correção?

O registro não lista versão corrigida. Verifique o site do fabricante e os canais de suporte para atualizações e reduza a exposição enquanto isso.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.