Vulnerabilidades

Un control de acceso incorrecto en la función setUploadSetting de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados manipular el flujo de subida o de grabación de flash mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función setWanCfg de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados alterar el aprovisionamiento y la conectividad de nivel superior mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función setUpgradeFW de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados desencadenar cambios en el flujo de actualización del firmware mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función setWiFiEasyGuestCf de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados crear o debilitar el acceso inalámbrico de invitados mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función setWiFiEasyCfg de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados reconfigurar o desactivar redes inalámbricas mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función setStorageCfg de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados alterar el estado de los servicios relacionados con el almacenamiento mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función setRemoteCfg de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados exponer la administración desde el lado WAN mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función setLedCfg de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados modificar el comportamiento de los LED mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función setPasswordCfg de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados cambiar la cuenta de administrador mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función setUPnPCfg de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados cambiar el estado del servicio UPnP mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función setAccessDeviceCfg de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados alterar las políticas de dispositivos de acceso mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función setWanIeCfg de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados reconfigurar los ajustes del enlace ascendente mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función setScheduleCfg de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados configurar tareas de reinicio forzado mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función getRoamingCfg de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados obtener el indicador de activación de la itinerancia mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función getSlaveUpdate de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados consultar el estado de actualización de los esclavos y afectar al registro interno de las actualizaciones mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función getPairCfg de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados obtener la configuración de emparejamiento y de los esclavos de la red mallada mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función getWiFiApcliScan de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados provocar escaneos inalámbricos y obtener los resultados del escaneo AP-cliente enviando una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función getPortForwardRules de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados obtener las reglas de reenvío de puertos enviando una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función getIpPortFilterRules de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados obtener las reglas de filtrado de IP y puertos mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función getSyslogCfg de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados obtener la configuración relacionada con syslog mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función getDiagnosisCfg de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados obtener la configuración de diagnóstico y el contenido del registro de ping mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función getParentalRules de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados obtener las reglas de control parental mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función getPasswordCfg de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados obtener el nombre de usuario administrativo mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función getNtpCfg de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados obtener la configuración NTP y datos de la hora actual mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.

Un control de acceso incorrecto en la función getWiFiAclRules de TOTOLINK T6 4.1.5cu.748_B20211015 permite a atacantes no autenticados obtener las reglas ACL de Wi-Fi mediante el envío de una solicitud POST manipulada a /cgi-bin/cstecgi.cgi.