Descripción
Se encontró una vulnerabilidad en TOTOLINK A950RG 4.1.2cu.5268_B20221104. Afecta a la función getDeviceInfo del archivo /var/lib/misc/udhcpd.leases del componente device-information Handler. La manipulación del argumento MAC address provoca una inyección de comandos. El ataque puede lanzarse de forma remota. El exploit se ha hecho público y podría utilizarse.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- A950RG Afectadas: 4.1.2cu.5268_B20221104
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en vuldb.comvuldb.com/vuln/426403
- Referencia en vuldb.comvuldb.com/vuln/426403/cti
- Aviso de vuldb.comvuldb.com/cve/CVE-2026-116505
- Aviso de vuldb.comvuldb.com/submit/1022554
- Exploit publicadogist.github.com/H3rmesk1t/836a8c4be24fcc4b7041b4bbe9cbb178
- Referencia en totolink.nettotolink.net/
Ver el texto original en inglés (CVE.org)
TOTOLINK A950RG device-information udhcpd.leases getDeviceInfo command injection
A vulnerability was found in TOTOLINK A950RG 4.1.2cu.5268_B20221104. This impacts the function getDeviceInfo of the file /var/lib/misc/udhcpd.leases of the component device-information Handler. The manipulation of the argument MAC address results in command injection. The attack can be launched remotely. The exploit has been made public and could be used.