CVE-2026-8263Tenda AC6 路由器固件版本 15.03.06.49_multi_TDE01 存在安全漏洞。问题出在 httpd 组件的 /goform/WifiExtraSet 接口中的 fromSetWirelessRepeat 函数。由于未正确过滤用户输入的 mac 或 ssid 参数，攻击者可构造恶意请求进行操作系统命令注入。尽管需要高权限，但该漏洞允许远程无交互攻击，可能造成系统机密性、完整性和可用性的低程度影响，且已有公开的利用代码。
该漏洞的根源在于 Tenda AC6 路由器 httpd 服务程序对用户输入的验证不足。具体而言，在处理来自 /goform/WifiExtraSet 接口的请求时，fromSetWirelessRepeat 函数接收了用于配置无线中继的 mac 和 ssid 参数。程序直接将这些参数拼接到系统命令中并执行，未进行任何转义或过滤。攻击者若拥有管理员权限（PR:H），可以通过构造包含特定 Shell 元字符（如分号、管道符等）的恶意 payload，欺骗后端执行任意操作系统命令。由于 httpd 通常运行在特权模式下，成功利用此漏洞可能导致攻击者获得设备的控制权，进而读取文件、修改配置或导致拒绝服务。目前网络上已有针对该漏洞的 PoC 代码验证了其有效性。攻击者首先需要登录路由器管理界面获取高权限会话，随后向目标接口发送特制的 HTTP POST 请求，将 payload 注入 mac 或 ssid 字段，从而实现远程命令执行。