TOTOLINK A8000RU Pre-Auth Command Injection Vulnerability (#79848)

脆弱性概要 脆弱性编号: #79848 脆弱性标题: Totolink A8000RU 7.1cu.643_b20200521 コマンドインジェクション 脆弱性説明: TOTOLINK A8000RU 7.1cu.643_b20200521 ルーターのWeb管理インターフェースにおいて、認証前のオペレーティングシステムコマンドインジェクション脆弱性が存在します。この脆弱性は 機能に位置し、HTTPパラメータ 経由で露出しています。CGI処理プログラムはユーザー制御入力を に埋め込み、そのまま文字列として で実行し、さらに によって実行されます。この際、入力に対するサニタイズやエスケープ処理は一切行われません。したがって、リモート攻撃者はWebインターフェースにネットワーク経由でアクセスし、認証不要で任意のシェルコマンドをインジェクションしてルート権限でデバイス上で実行することができます。これにより、ルーターの完全な乗っ取りを招き、さらに接続されているネットワーク全体への波及影響も発生する可能性があります。 影響範囲 対象デバイス: TOTOLINK A8000RU 7.1cu.643_b20200521 脆弱性タイプ: コマンドインジェクション 影響レベル: 高危険度（デバイスの完全な乗っ取りが可能） 修正方案 現在のステータス: 受け入れ済み（Accepted） 修正提案: メーカに対し、 機能におけるコマンドインジェクション脆弱性を修正するパッチの早期公開を推奨します。具体的な対策としては、ユーザー入力に対する厳格な検証とフィルタリングを行い、ユーザー入力をシステムコマンドに直接埋め込まないことが挙げられます。 POCコード その他情報 提出時刻: 2026年4月7日 02:50 AM 審査時刻: 2026年4月25日 05:39 PM VulDBエントリ: 359617 ポイント: 20 --- コミュニティコンテンツ: 提出はVulDBコミュニティユーザーによって行われました。VulDBはコンテンツやリンクに対して責任を負いません。これらには悪意のあるまたは有害な操作、コード、データが含まれている可能性があるため、提供された情報については慎重にご使用ください。

目標達成 すべての支援者に感謝 — 100%達成しました！

TOTOLINK A8000RU Pre-Auth Command Injection Vulnerability (#79848)

目標達成すべての支援者に感謝 — 100%達成しました！