Totolink X2000R: OS Command Injection in der Web-Administration (formWsc)
Zusammenfassung
Der Totolink X2000R Heimrouter mit Firmware TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327 weist in der boa-Web-Komponente formWsc, Parameter peerRptPin, eine OS Command Injection auf. Ein Angreifer mit gültigen Administrator-Zugangsdaten kann über eine speziell gestaltete HTTP-Anfrage beliebige Betriebssystembefehle auf dem Gerät ausführen. Der CVSS-Vektor setzt hohe Berechtigungen (PR:H) und Netzwerkzugriff voraus, daher ist das Risiko am höchsten, wenn die Web-Administration aus dem Internet erreichbar ist.
Betroffen
- Totolink X2000R, Firmware TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327 (einzige Version, die in den Quellen genannt wird)
Behoben in
Unbekannt. Zum Zeitpunkt der Recherche wurde weder eine Herstellerwarnung noch eine korrigierte Firmware gefunden.
Umgehung
- Dem Hersteller ist keine Workaround-Massnahme bekannt.
- Die Fernverwaltung (WAN) der Web-Administration deaktivieren.
- Den Zugriff auf die Web-Administration auf ein vertrauenswürdiges LAN-Segment beschränken.
- Standard-Administratorzugangsdaten ändern und die Anzahl der Berechtigten für die Anmeldung begrenzen.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- EPSS 0.01286 (niedrige vorhergesagte Ausnutzungswahrscheinlichkeit).
Unsere Empfehlung
- Alle Totolink X2000R Geräte in der Umgebung inventarisieren.
- Prüfen, ob die Web-Administration aus dem WAN erreichbar ist, und die Fernverwaltung bei Erreichbarkeit deaktivieren.
- Web-Administration auf vertrauenswürdige LAN-Clients beschränken und starke, eindeutige Administratorpasswörter erzwingen.
- Regelmässig auf ein Firmware-Update des Herstellers prüfen; wird keines veröffentlicht, das Gerät ersetzen.
- Das Gerät auf unerwartete Konfigurationsänderungen oder ausgehende Verbindungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Cisco Talos TALOS-2026-2387 talosintelligence.com
- OpenCVE CVE-2026-35499 app.opencve.io
- Talos mirror TALOS-2026-2387 (Vulners) vulners.com
- CVE-2026-35499 (threatint mirror) cve.threatint.com
- CVE-2026-35499 (Strix) www.strix.ai
- EUVD-2026-105352 (Vulners, EPSS) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:03.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.