A flaw has been found in TOTOLINK X6000R 9.4.0cu.1360_B20241207/9.4.0cu.1498_B20250826. Affected by this issue is the function setLanCfg of the file /usr/sbin/shttpd. Executing a manipulation of the argument Hostname can lead to os command injection. The attack may be launched remotely.
A command injection vulnerability exists in TOTOLINK X6000R router firmware versions 9.4.0cu.1360_B20241207 and 9.4.0cu.1498_B20250826 through the setLanCfg function in /usr/sbin/shttpd. Remote attackers can execute arbitrary OS commands by manipulating the Hostname parameter.
تؤثر هذه الثغرة على وظيفة setLanCfg في ملف /usr/sbin/shttpd حيث يمكن للمهاجمين التلاعب بمعامل اسم المضيف لحقن أوامر نظام التشغيل. يمكن تنفيذ الهجوم عن بعد دون الحاجة إلى مصادقة، مما يسمح بالتحكم الكامل في الجهاز.
ثغرة حقن أوامر موجودة في برنامج تشغيل جهاز توجيه TOTOLIK X6000R الإصدارات 9.4.0cu.1360_B20241207 و9.4.0cu.1498_B20250826 عبر دالة setLanCfg. يمكن للمهاجمين البعيدين تنفيذ أوامر نظام تعسفية بمعالجة معامل اسم المضيف.
Immediately update TOTOLINK X6000R firmware to the latest patched version beyond 9.4.0cu.1498_B20250826. If immediate patching is unavailable, restrict network access to the router's management interface using firewall rules and disable remote management features. Implement network segmentation to isolate affected devices.
قم بتحديث برنامج تشغيل TOTOLINK X6000R فوراً إلى أحدث إصدار معدل. إذا لم يكن التحديث متاحاً، قيد الوصول إلى واجهة إدارة الجهاز باستخدام قواعد جدار الحماية وعطل ميزات الإدارة البعيدة. طبق تقسيم الشبكة لعزل الأجهزة المتأثرة.