CVE-2026-123958: Buffer overflow critico in TOTOLINK CA300-PoE

Buffer overflow remoto in CA300-PoE 6.2c.884 via setLanConfig, CVSS 9,9, exploit pubblico, nessuna patch.

CVE-2026-123958 identifica un buffer overflow remoto nella funzione setLanConfig del file /cgi-bin/cstecgi.cgi in TOTOLINK CA300-PoE versione 6.2c.884. La vulnerabilità è accessibile tramite manipolazione non autenticata dei parametri lanDns, lanSecDns e langType. Un attaccante remoto può sfruttare questa falla per ottenere esecuzione di codice arbitrario sul dispositivo, compromettendo router e access point PoE utilizzati in ambienti aziendali e infrastrutture critiche.

La vulnerabilità riceve un punteggio CVSS 9,9 (critical) ed è stata pubblicata il 7 novembre 2026. Secondo la descrizione ufficiale NVD, un exploit pubblicamente disponibile esiste già. I post su X riportano negli ultimi giorni segnali coerenti: la vulnerabilità è parte di un cluster di CVE critiche su TOTOLINK, e ad oggi nessun patch ufficiale è stato reso disponibile dal produttore.

Per i difensori: inventariare immediatamente i dispositivi TOTOLINK CA300-PoE in ambienti critici. Se presenti, considerare isolamento temporaneo di rete o restrizione dell'accesso alla CGI. Monitorare accessi a /cgi-bin/cstecgi.cgi per parametri sospetti. Contattare il supporto TOTOLINK per informazioni sulla disponibilità di patch. Se il produttore non fornisce correzione entro tempi ragionevoli, valutare la sostituzione del dispositivo con alternativa non vulnerabile.

In sintesi

Cosa: Buffer overflow nella funzione setLanConfig del file /cgi-bin/cstecgi.cgi in TOTOLINK CA300-PoE 6.2c.884. Accessibile tramite manipolazione non autenticata dei parametri lanDns, lanSecDns, langType. Consente esecuzione remota di codice arbitrario su router e access point PoE.
Gravità: CVSS 9,9 (critical). Exploit pubblicamente disponibile. Attacco remoto senza autenticazione richiesta.
Versioni interessate: TOTOLINK CA300-PoE versione 6.2c.884 confermata nei dati ufficiali NVD. Altre versioni non specificate.
Correzione: Non riportato nei dati ufficiali. Nessun patch disponibile al momento della pubblicazione (7 novembre 2026).
Stato: Pubblicata il 7 novembre 2026. Exploit pubblicamente disponibile secondo descrizione NVD. Nessuna mitigazione ufficiale confermata dal vendor.
Azione: Inventariare immediatamente router CA300-PoE in ambienti critici. Isolamento di rete temporaneo consigliato. Monitorare accessi a /cgi-bin/cstecgi.cgi. Contattare TOTOLINK per status patch. Valutare sostituzione se correzione non disponibile.

Fonti: NVD, CVE-2026-123958

← Tutti gli articoli