CVE-2026-7155: Injeção de Comando no Sistema Operacional em Totolink A8000RU via parâmetro admpass de setLoginPasswordCfg

Visão geral

O CVE-2026-7155 é uma fraqueza de injeção de comando (CWE-77) que afeta a função setLoginPasswordCfg tratada pelo componente CGI Handler do Totolink A8000RU, na versão 7.1cu.643_b20200521. O registro indica que o argumento admpass é processado de forma que permite injeção de comandos no sistema operacional. A CVE foi publicada em 27/04/2026 pelo CNA cna@vuldb.com, e o status da fonte aparece como Deferred.

Impacto

O vetor CVSS 3.1 informado pelo CNA é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, com pontuação base de 9,8 (crítica), o que indica exploração acessível pela rede, sem privilégios e sem interação do usuário.
Uma injeção de comando bem-sucedida poderia afetar a confidencialidade, a integridade e a disponibilidade do dispositivo, conforme os componentes do vetor.
O registro também traz pontuações CVSS 4.0 (8,9) e CVSS 2.0 (10) do mesmo CNA; elas são apresentadas como fornecidas e não foram verificadas de forma independente.

Produtos e versões afetados

Produto: Totolink A8000RU.
Versão afetada indicada no registro: 7.1cu.643_b20200521.
A lista estruturada de versões afetadas está vazia, portanto as demais versões são desconhecidas.

Status de exploração

O registro informa que o exploit foi divulgado publicamente e pode ser utilizado.
A vulnerabilidade não está listada no catálogo KEV da CISA segundo o registro, por isso esta análise não afirma que ela esteja sendo explorada no mundo real.
A probabilidade EPSS é 0,03253 (percentil 0,88047), uma estimativa estatística de probabilidade de exploração e não a confirmação de ataques.

Correção e mitigação

O registro não informa versão corrigida. A ausência desse dado não significa que não exista correção; administradores devem consultar o site do fabricante e a página de produto da Totolink em busca de atualizações de firmware.
Enquanto uma atualização não for verificada, reduza a exposição restringindo o acesso à interface administrativa do dispositivo, removendo acesso de gerenciamento voltado à internet e segmentando redes de gerenciamento de roteadores e dispositivos IoT.
Substitua dispositivos sem suporte do fabricante caso nenhuma atualização esteja disponível.

Orientações de detecção

Revise os logs do dispositivo e do servidor web em busca de requisições incomuns ao endpoint cstecgi.cgi, especialmente as que envolvem parâmetros de configuração de senha.
Monitore alterações inesperadas de configuração, novas contas administrativas ou conexões de saída originadas do roteador.
Trate qualquer comportamento inexplicado do equipamento como possível comprometimento e investigue.

Limitações das informações disponíveis

O registro não fornece versão corrigida, aviso oficial do fabricante nem faixas de versões afetadas além da string de versão citada.
As referências públicas são uma submissão e uma entrada da VulDB, um README de repositório no GitHub e a página inicial do fabricante; o conteúdo técnico delas não foi verificado de forma independente nesta análise.
Não se sabe se o fabricante reconheceu ou corrigiu o problema.

Perguntas frequentes

O que é a CVE-2026-7155?

É uma vulnerabilidade de injeção de comando (CWE-77) na função setLoginPasswordCfg do CGI Handler do firmware Totolink A8000RU 7.1cu.643_b20200521, acionada pelo argumento admpass.

Há exploração confirmada no mundo real?

O registro indica que ela não está listada no KEV da CISA e não aparece exploração confirmada nas fontes consultadas. O registro informa que um exploit foi divulgado publicamente.

Existe versão corrigida?

O registro não informa versão corrigida. Isso não prova que não exista correção, por isso consulte o fabricante em busca de atualizações de firmware.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.