CVE-2026-36956Dbit N300 T1 Pro无线路由器V1.0.0版本存在跨站请求伪造（CSRF）漏洞。该设备Web管理界面未能实施有效的CSRF防护，如缺少令牌验证或来源检查。攻击者可诱导已登录管理员访问恶意链接，利用受害者的浏览器会话向配置接口（如/api/setWlan）发送伪造请求，从而未授权地修改路由器配置，造成严重安全风险。
该漏洞的根源在于Dbit N300 T1 Pro路由器Web管理接口在设计上缺乏对跨站请求的有效防御机制。具体表现为，系统在处理关键管理操作时，未生成并验证唯一的Anti-CSRF Token，同时也未对HTTP请求头中的Origin或Referer字段进行严格的同源策略检查。攻击者利用这一缺陷，可以精心构造一个恶意的HTML页面，其中包含指向路由器内部API（如/api/setWlan）的隐藏表单提交或异步请求。一旦已通过身份认证的管理员用户受到诱导访问此恶意页面，其浏览器将自动携带当前有效的会话Cookie向路由器发送请求。由于路由器无法区分请求的真实来源，它将接受并执行这些伪造的指令，导致攻击者能够远程篡改路由器的WLAN配置或其他关键参数。