📋 漏洞概述

Totolink A8000RU路由器固件setGameSpeedCfg函数存在OS命令注入漏洞，可导致远程未授权RCE。

📋 基础信息

🔬 漏洞根因

Web管理接口/cgi-bin/cstecgi.cgi中setGameSpeedCfg函数在处理HTTP请求参数enable时，未对用户输入进行有效的过滤或转义，直接将其拼接到系统命令中执行。攻击者可通过在enable参数中插入命令分隔符（如;、|、`等）注入任意操作系统命令。

🎯 攻击场景

1. 攻击者扫描发现公网上暴露的Totolink A8000RU路由器Web管理端口（通常为80/443）。 2. 构造特制HTTP POST请求，目标路径为/cgi-bin/cstecgi.cgi，参数为setGameSpeedCfg，并在enable字段中注入命令，例如：enable=1;id> /tmp/out。 3. 路由器cgi程序未过滤分隔符，直接执行拼接后的命令，将id命令输出写入/tmp/out。 4. 攻击者通过另一个接口（如读取/cgi-bin/某些文件或再次注入cat命令）获取命令执行结果。 5. 攻击者进一步利用该命令注入权限下载恶意软件、修改配置或植入后门，实现完全控制路由器。

💥 漏洞影响

攻击者无需任何身份验证即可在受影响路由器上以root权限执行任意操作系统命令，导致设备完全失陷，可被用于窃取网络流量、发起DDoS攻击、作为跳板攻击内网设备，影响范围包括所有使用该固件版本的Totolink A8000RU路由器。

🛡️ 修复建议

1. 升级固件：官方尚未发布修复版本，建议用户持续关注Totolink官方更新，一旦发布立即升级。 2. 临时缓解措施：禁用WAN侧对Web管理界面的访问（修改防火墙规则，仅允许内网IP访问）；如非必要，关闭Web管理功能；或在设备前部署WAF/IPS规则拦截包含命令分隔符的请求。

📎 参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2026-9405
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-9405
• 原始来源（NVD-Latest）

🚨 威胁评估

⚠️ 本文由漏洞情报系统自动生成，仅供安全研究与防御参考。生成时间: 2026-05-27 08:10 | 来源: NVD-Latest