CVE-2026-7030Tenda F456路由器1.0.0.5版本存在安全漏洞。该漏洞源于/goform/RouteStatic接口中的fromRouteStatic函数对page参数处理不当,导致缓冲区溢出。攻击者无需用户交互,仅需低权限即可通过网络发起远程攻击,可能造成设备崩溃或执行任意代码。
该漏洞位于Tenda F456路由器的Web管理接口中。具体受影响的文件是/goform/RouteStatic,涉及函数为fromRouteStatic。问题出在对HTTP POST请求参数“page”的处理上,程序未正确校验输入数据的长度,直接将其拷贝至固定大小的栈缓冲区中。由于攻击者可控制输入数据的大小,通过发送超长字符串可以覆盖返回地址,从而控制程序执行流。结合CVSS向量(AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H),该漏洞利用难度低,影响范围广,可导致机密性、完整性和可用性的全面丧失。