CVE-2026-32669BUFFALO Wi-Fi路由器产品中存在严重的代码注入漏洞。由于软件未能正确过滤用户提供的输入,未经身份验证的远程攻击者可以通过网络向受影响设备发送特制的数据包。成功利用此漏洞可能导致攻击者在系统上执行任意代码。鉴于该漏洞无需用户交互且无需权限即可利用,其对机密性、完整性和可用性均造成严重影响,风险等级为危急。
该漏洞属于典型的代码注入漏洞,其根本原因在于BUFFALO Wi-Fi路由器Web管理接口的特定端点在处理HTTP请求参数时,缺乏严格的输入验证和沙箱隔离机制。攻击者可以通过网络向受影响设备的特定CGI脚本或API接口发送恶意构造的请求(如包含特定Shell元字符或脚本命令的POST/GET数据)。由于后端程序直接将用户可控的数据传递给系统执行函数(如system()、exec()或类似的危险函数),导致恶意代码被操作系统解析并执行。CVSS向量 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 表明攻击链非常简单且危害极大。攻击者一旦利用成功,通常可以获得底层系统的最高权限,从而完全控制设备,进一步可用于窃听网络流量、植入僵尸网络程序或作为跳板攻击内网其他主机。