FICHE CVE

CVE-2026-9404

Publiée le 2026-05-24 · Dernière modification le 2026-07-23

🇫🇷 EN BREF

Les routeurs Totolink A8000RU utilisant la version 7.1cu.643_b20200521 sont vulnérables à l'injection de commandes via l'interface de gestion web. Un attaquant peut exécuter à distance des commandes système arbitraires avec des privilèges élevés, prenant ainsi le contrôle total de l'appareil. Cette opération est simple à réaliser car elle ne nécessite ni authentification ni interaction de l'utilisateur, et peut être déclenchée via le réseau à l'aide de codes d'exploitation disponibles publiquement.

CVSS 4.08.9 ÉLEVÉE

Type de faiblesse

Injection de commandes · CWE-77 Injection de commandes système · CWE-78

Publiée2026-05-24

Dernière modification2026-07-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

A vulnerability was identified in Totolink A8000RU 7.1cu.643_b20200521. This affects the function setDdnsCfg of the file /cgi-bin/cstecgi.cgi of the component Web Management Interface. Such manipulation of the argument provider leads to os command injection. The attack may be launched remotely. The exploit is publicly available and might be used.