Identificador / NVD
CVE-2026-105484
Ficha técnica de vulnerabilidade
Análise técnica
A falha ocorre na função firmware_check do arquivo /cgi-bin/cstecgi.cgi do TOTOLINK X6000R 9.4.0cu.652_B20230116. O parâmetro file_name não é sanitizado, permitindo injeção de comandos ao sistema operacional. O atacante pode enviar um nome de arquivo contendo payloads que são concatenados em chamadas de shell, executando código arbitrário com os privilégios do serviço web. A exploração pode ser realizada remotamente sem autenticação, bastando enviar uma requisição HTTP ao endpoint de upload de firmware.
ANÁLISE EM PORTUGUÊS · 13 DE OUT. DE 2026
Descrição original do NVD
A security vulnerability has been detected in TOTOLINK X6000R 9.4.0cu.652_B20230116. The impacted element is the function firmware_check of the file /cgi-bin/cstecgi.cgi of the component UploadFirmwareFile Handler. Such manipulation of the argument file_name leads to os command injection. The attack may be performed from remote.
Resposta recomendada
Atualize o firmware para a versão que corrige a validação do parâmetro file_name ou aplique filtro de entrada que bloqueie caracteres de comando; caso não haja patch, restrinja o acesso ao endpoint de upload via firewall ou autenticação forte.
Orientação gerada por IA. Confirme versões afetadas e correções no aviso do fornecedor antes de aplicar mudanças.
No radar da Statecraft
Nenhuma campanha ou briefing publicado com vínculo explícito a esta CVE.
Os briefings são relacionados pelo identificador CVE. Verifique as fontes de cada briefing para confirmar o contexto.
CVSS mede severidade técnica. EPSS estima a probabilidade de exploração nos 30 dias seguintes à data do score.