CVE-2026-7469Tenda 4G300路由器US_4G300V1.0Mt_V1.01.42_CN_TDC01版本存在命令注入漏洞。漏洞源于/goform/DelFil接口的sub_425A28函数对delflag参数缺乏有效过滤。攻击者无需用户交互,仅需低权限即可通过网络发送恶意请求,触发漏洞并在设备上执行任意系统命令,造成系统被控。
漏洞发生在Tenda 4G300路由器的Web管理服务中,具体影响文件/goform/DelFil下的sub_425A28函数。该函数负责处理文件删除操作,接收HTTP POST请求中的delflag参数。由于代码实现过程中未对该参数进行严格的边界检查和特殊字符过滤,直接将其拼接到系统调用命令中。攻击者可以利用这一缺陷,在delflag参数值末尾追加Shell命令分隔符(如分号或&&)以及恶意指令。当服务器处理该请求时,会执行拼接后的命令字符串,导致攻击者获得执行权限,从而读取敏感信息、篡改配置或破坏服务。该漏洞利用难度低,且已有公开PoC,风险较高。