CVE-2026-5572 CVSS 4.3 中危

CVE-2026-5572 Technostrobe HI-LED-WR120-G2 CSRF漏洞

披露日期: 2026-04-05

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-5572

漏洞类型

跨站请求伪造 (CSRF)

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Technostrobe HI-LED-WR120-G2

漏洞概述

Technostrobe HI-LED-WR120-G2 5.5.0.1R6.03.30版本中被发现存在一处安全漏洞，涉及未知功能的处理逻辑缺陷。该漏洞允许跨站请求伪造（CSRF），即攻击者可以通过诱导受害者点击特制的链接或访问恶意网页，利用受害者的浏览器会话向目标服务器发送非预期的请求。这种攻击无需获取受害者的凭证即可执行，可能导致系统设置被篡改或数据完整性受损。鉴于漏洞利用代码已公开且厂商尚未响应，该设备面临潜在的安全威胁。

技术细节

该漏洞属于典型的跨站请求伪造（CSRF）漏洞，其根本原因在于受影响的产品Technostrobe HI-LED-WR120-G2在处理关键功能请求时，未对请求的来源合法性进行严格验证，具体表现为缺乏足够的CSRF Token机制或未对HTTP Referer头进行有效校验。在漏洞利用过程中，攻击者首先需要侦察目标设备的管理接口，确定存在CSRF缺陷的具体端点和参数。随后，攻击者构建一个包含恶意HTML或JavaScript代码的网页，该代码会向目标设备的URL发起非预期的HTTP请求（如POST或GET请求）。由于浏览器在发送同源请求时会自动携带用户的身份凭证（如Session Cookie），当已登录管理后台的受害者访问攻击者构造的恶意网页时，浏览器会在后台静默发送请求。目标服务器接收到请求后，因缺乏有效的防御机制，误以为是用户合法的操作指令并予以执行。根据CVSS 3.1向量分析，该漏洞攻击复杂度为低，且主要影响系统的完整性（I:L），允许攻击者在未经授权的情况下修改设备配置或特定数据。

攻击链分析

STEP 1

1. 侦查

攻击者扫描网络，识别出在线的Technostrobe HI-LED-WR120-G2设备及其管理接口地址。

STEP 2

2. 构造攻击载荷

攻击者分析设备请求，编写包含恶意HTML表单的网页，该表单指向设备管理接口中缺乏CSRF防护的功能端点。

STEP 3

3. 投递攻击

攻击者通过钓鱼邮件或社会工程学手段，诱导已登录设备管理后台的合法用户访问该恶意网页。

STEP 4

4. 执行请求

受害者在不知情的情况下，浏览器自动携带会话Cookie向设备发送配置修改请求。

STEP 5

5. 达成效果

设备服务器验证会话有效，执行攻击者指定的操作，导致设备配置被篡改（完整性受损）。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- Proof of Concept for CVE-2026-5572 -->
<!-- Target: Technostrobe HI-LED-WR120-G2 -->
<html>
  <body>
    <!-- Form targeting a hypothetical vulnerable endpoint -->
    <form action="http://<target_ip>/admin/config_update" method="POST">
      <input type="hidden" name="setting_param" value="attacker_controlled_value" />
      <input type="submit" value="Submit request" />
    </form>
    <script>
      // Auto-submit the form to trigger the CSRF attack without user interaction
      document.forms[0].submit();
    </script>
  </body>
</html>

影响范围

Technostrobe HI-LED-WR120-G2 5.5.0.1R6.03.30

防御指南

临时缓解措施

建议用户将设备管理界面部署在内网环境中，避免暴露在公网。管理员在使用完管理后台后应立即退出登录，避免长时间保持会话有效，以防在浏览其他网页时遭受CSRF攻击。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表