CVE-2026-34473该漏洞影响多款ZTE路由器设备。由于Web接口处理逻辑缺陷,攻击者无需认证即可向路由器Web管理界面发送超大的application/x-www-form-urlencoded类型POST请求,从而触发拒绝服务条件。成功利用该漏洞会导致路由器管理界面完全无响应,直至设备重启。受影响设备包含H8102E、H168N等多个型号,主要涉及2022年之前的固件版本。
该漏洞的原理在于ZTE路由器的Web服务器组件未能正确校验入站HTTP POST请求的Content-Length或实际Body大小。攻击者利用`application/x-www-form-urlencoded`格式构造超长数据字段发送给目标设备。由于攻击无需用户交互且无需身份认证(PR:N),远程攻击者可轻易实施攻击。当设备尝试解析过大的POST Body时,可能因内存耗尽或缓冲区溢出导致HTTP服务进程崩溃,造成管理界面挂起。根据供应商反馈,官方固件在2021年3月23日后已修复此问题,但部分运营商定制的老旧固件可能仍包含漏洞。