CVE-2026-116505: TOTOLINK A950RG device-information udhcpd.leases getDeviceInfo command injection

Severity: critical (CVSS 9.1 v3.1)
Exploited in the wild: not listed in CISA KEV
EPSS: 2.7% probability of exploitation in the next 30 days
Public exploit or detection template: none known
Published: 2026-10-26 · updated 2026-10-31
Weakness: CWE-74

Description

A vulnerability was found in TOTOLINK A950RG 4.1.2cu.5268_B20221104. This impacts the function getDeviceInfo of the file /var/lib/misc/udhcpd.leases of the component device-information Handler. The manipulation of the argument MAC address results in command injection. The attack can be launched remotely. The exploit has been made public and could be used.

Summary

A critical command injection flaw (CVE-2026-116505, CVSS 9.1) exists in TOTOLINK A950RG firmware 4.1.2cu.5268_B20221104, where manipulating the MAC address argument in the getDeviceInfo function of /var/lib/misc/udhcpd.leases lets an attacker execute commands. The attack can be launched remotely, and a public exploit is available, raising the risk of active abuse. It is not listed in CISA KEV. Users should update to a fixed firmware version from TOTOLINK if available, or restrict remote access to the device and isolate it on the network as a mitigation.

توجد ثغرة حقن أوامر حرجة (CVE-2026-116505، بدرجة CVSS 9.1) في البرنامج الثابت TOTOLINK A950RG 4.1.2cu.5268_B20221104، حيث يؤدي التلاعب بوسيط عنوان MAC في الدالة getDeviceInfo ضمن الملف /var/lib/misc/udhcpd.leases إلى تنفيذ أوامر. يمكن شن الهجوم عن بُعد، وقد أصبح الاستغلال متاحًا للعموم مما يزيد خطر استغلاله فعليًا. الثغرة غير مدرجة في CISA KEV. يُنصح المستخدمون بالترقية إلى إصدار برنامج ثابت مُصحَّح من TOTOLINK إن توفر، أو تقييد الوصول البعيد إلى الجهاز وعزله على الشبكة كإجراء تخفيف.

Affected products

TOTOLINK A950RG: 4.1.2cu.5268_B20221104

References

Get alerted when CVE-2026-116505 or the next vulnerability affects your stack