kirubel-cve/CVE-2026-36956

# CVE-2026-36956: Web 管理界面中的跨站请求伪造 (CSRF) **CVE ID:** CVE-2026-36956 **日期:** 2026-04-29 **发现者:** Kirubel Solomne **供应商:** 深圳市迪比特网络科技有限公司 **产品:** Dbit 路由器 **固件版本:** V1.0.0 **CWE:** CWE-352 - 跨站请求伪造 (CSRF) ## 描述 Dbit 路由器固件 V1.0.0 在管理 API 接口上未实现 CSRF 保护机制，例如 anti-CSRF token 或严格的 Origin/Referer 验证。攻击者可以制作一个恶意网页，向配置接口发送伪造的 HTTP 请求。如果经过身份验证的管理员访问了该恶意网页，路由器会将伪造的请求作为合法的管理操作进行处理。 ## CVSS 评分 **CVSS v3.1 评分: 8.8 (高危)** `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H` | 指标 | 值 | |---|---| | 攻击途径 | 网络 | | 攻击复杂度 | 低 | | 所需权限 | 无 | | 用户交互 | 必需 | | 机密性影响 | 高 | | 完整性影响 | 高 | | 可用性影响 | 高 | ## 受影响的接口 | 接口 | 功能 | |---|---| | `/api/setWlan` | 无线网络配置 (SSID, 密码) | | `/api/setWan` | WAN 配置 | | `/api/setSystem` | 系统配置 | ## 概念验证 将以下内容保存为 `poc.html`，并在管理员登录路由器时打开它： ``` ``` **预期行为:** 请求应因 CSRF token 不匹配而被拒绝。 **实际行为:** 路由器接受并处理了伪造的请求。 ## 影响 - 未经授权修改 WiFi SSID 和密码 - WAN/DNS 配置更改 - 对合法用户的拒绝服务 - 完全接管路由器配置 ## 修复建议 - 在所有更改状态的接口上实现 anti-CSRF token - 实施严格的 Origin 和 Referer 请求头验证 - 为 session cookie 使用 SameSite=Strict 属性 ## 披露时间线 | 日期 | 事件 | |---|---| | 2026-04-29 | 发现漏洞 | | 2026-04-29 | 报告给 MITRE | | 2026-04-29 | 分配 CVE-2026-36956 | | 2026-04-29 | 公开披露 | ## 参考文献 - [MITRE CVE-2026-36956](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-36956) - [CWE-352](https://cwe.mitre.org/data/definitions/352.html) - [供应商网站](http://dbit.com)

标签：API安全, CISA项目, CSRF, CVE-2026-36956, CVSS 8.8, CWE-352, Dbit路由器, DNS劫持, IoT安全, JSON输出, PoC, Python脚本, Web管理接口, WiFi密码修改, 固件安全, 多模态安全, 数据可视化, 数据展示, 暴力破解, 深圳迪比特, 漏洞分析, 系统遥测, 红队, 网络安全, 网络设备安全, 跨站请求伪造, 路径探测, 路由器漏洞, 身份验证绕过, 隐私保护, 高级威胁