PT-2026-35220 · Totolink · A8000Ru

Ltzhuster · Publicado 2026-04-26 · Atualizado 2026-05-24 · CVE-2026-7037

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Totolink A8000RU versão 7.1cu.643 b20200521

Descrição Uma falha de injeção de comando de SO existe no componente CGI Handler. Atacantes remotos e não autenticados podem executar comandos arbitrários do sistema operacional ao manipular o argumento pptpPassThru dentro da função setVpnPassCfg() do endpoint '/cgi-bin/cstecgi.cgi'.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

OS Command Injection

Command Injection

Enumeração de Fraquezas

CWE-78

CWE-77

Identificadores relacionados

CVE-2026-7037

Produtos afetados

A8000Ru

Referências · 12

• 🔥 https://github.com/Litengzheng/vuldb_new2/blob/main/A8000RU/vul_305/README.md · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2026-7037 · Nota de Segurança
• https://twitter.com/CVEnew/status/2048481027832574344 · Publicação no Twitter
• https://reddit.com/r/pwnhub/comments/1sw7h2q/critical_os_command_injection_risk_in_totolink · Publicação no Reddit
• https://twitter.com/lyrie_ai/status/2058348768383168593 · Publicação no Twitter
• https://twitter.com/OrizonCyber/status/2048379090541924670 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2058348766403420521 · Publicação no Twitter
• https://vuldb.com/submit/798484 · Nota
• https://vuldb.com/vuln/359617/cti · Nota
• https://twitter.com/lyrie_ai/status/2058348767351325171 · Publicação no Twitter
• https://vuldb.com/vuln/359617 · Nota
• https://totolink.net · Nota