CVE-2026-6989Tenda F453路由器在固件版本1.0.0.3及以下中存在安全漏洞。该漏洞位于Telnet服务组件的/goform/telnet接口处理函数中。由于对用户输入缺乏有效的过滤机制,攻击者可以向该接口发送特制的数据包,从而在系统后台执行任意操作系统命令。此漏洞允许远程攻击者在无需用户交互的情况下,利用低权限账户发起攻击,对设备的机密性、完整性和可用性造成影响。
漏洞原理在于Tenda F453路由器Web管理界面的/goform/telnet路径对应的处理函数未正确净化用户提交的参数。当攻击者向该端点发送包含特定分隔符(如分号、管道符等)的恶意数据时,底层系统会将这些数据作为Shell命令执行。攻击者可以通过网络发起攻击(AV:N),利用难度较低(AC:L),且需要一定的低权限(PR:L)。一旦利用成功,攻击者可获得远程代码执行能力,进而进一步控制设备或进行横向移动。