What’s Vulnerable › Vulnerabilities

CVE-2026-116508: TOTOLINK A950RG Device-Information CGI infostat.cgi sub_402340 stack-based overflow

• Severity: critical (CVSS 10.0 v3.1)
• Exploited in the wild: not listed in CISA KEV
• EPSS: 0.6% probability of exploitation in the next 30 days
• Public exploit or detection template: none known
• Published: 2026-10-26 · updated 2026-10-31
• Weakness: CWE-119

Description

A security flaw has been discovered in TOTOLINK A950RG 4.1.2cu.5268_B20221104. Affected by this issue is the function sub_402340 of the file infostat.cgi of the component Device-Information CGI. Performing a manipulation of the argument CONTENT_LENGTH results in stack-based buffer overflow. Remote exploitation of the attack is possible. The exploit has been released to the public and may be used for attacks.

Summary

A stack-based buffer overflow exists in the TOTOLINK A950RG router firmware version 4.1.2cu.5268_B20221104, specifically in the sub_402340 function of infostat.cgi within the Device-Information CGI component, triggered by manipulating the CONTENT_LENGTH argument. The flaw is remotely exploitable and rated CVSS 10 (critical), potentially allowing an unauthenticated attacker to crash or execute code on the device. A public exploit has been released, so attacks are feasible, though the issue is not in CISA KEV. Users should update to a fixed firmware version from TOTOLINK if available, or restrict remote access to the router's web interface and place it behind a firewall as a mitigation.

توجد ثغرة تجاوز سعة المخزن المؤقت المعتمد على المكدس في جهاز التوجيه TOTOLINK A950RG بإصدار البرنامج الثابت 4.1.2cu.5268_B20221104، وتحديداً في الدالة sub_402340 ضمن الملف infostat.cgi في مكوّن Device-Information CGI، وتُستثار عبر التلاعب بالوسيط CONTENT_LENGTH. الثغرة قابلة للاستغلال عن بُعد وتصنيفها CVSS 10 (حرجة)، وقد تتيح لمهاجم غير موثّق تعطيل الجهاز أو تنفيذ تعليمات برمجية عليه. تم نشر استغلال عام للثغرة مما يجعل الهجمات ممكنة، رغم أنها غير مدرجة في CISA KEV. يُنصح المستخدمون بالترقية إلى إصدار برنامج ثابت من TOTOLINK إن توفّر، أو تقييد الوصول البعيد إلى واجهة الويب للجهاز ووضعه خلف جدار حماية كإجراء تخفيفي.

Affected products

• TOTOLINK A950RG: 4.1.2cu.5268_B20221104

References

• https://gist.github.com/H3rmesk1t/ad72def4ccc232757d4cbabf45da72cb
• https://vuldb.com/cve/CVE-2026-116508
• https://vuldb.com/submit/1022557
• https://vuldb.com/vuln/426406
• https://vuldb.com/vuln/426406/cti
• https://www.totolink.net/

Get alerted when CVE-2026-116508 or the next vulnerability affects your stack