CVE-2026-5184TRENDnet TEW-713RE固件版本1.02及之前版本存在命令注入漏洞。该漏洞位于/goform/setSysAdm接口中,由于对admuser参数缺乏严格的过滤,攻击者可构造恶意载荷注入系统命令。该攻击可远程发起,无需用户交互且仅需低权限,目前利用代码已公开。
该漏洞的根本原因在于TRENDnet TEW-713RE路由器在处理/goform/setSysAdm请求时,未能正确净化admuser参数。当攻击者向该端点发送POST请求时,后端脚本直接将admuser的值拼接到系统命令中执行。由于缺乏对特殊字符(如;、|、&等)的转义,攻击者可以注入并执行任意操作系统命令。考虑到路由器Web服务通常运行在高权限下,成功利用此漏洞可导致设备被完全接管,造成机密性、完整性和可用性的全面破坏。