Tenda AC19 路由器固件 16.03.10.07 被披露存在栈缓冲区溢出漏洞 CVE-2026-113744，CVSS 3.1 与 CVSS 4.0 双双为满分 10.0，公开的利用代码已在 CVE 记录中被引用。漏洞位于 httpd 网络管理服务的 /goform/SetFirewallCfg 接口，攻击者可远程触发，无需认证也无需用户交互——截至 10 月 21 日，厂商尚未给出修复版本。
事件概述
该 CVE 于 10 月 21 日公开，由 VulDB 用户 Zeming Hu 提交，NVD 记录将其归入 CWE-121（栈缓冲区溢出）与 CWE-119。记录中明确给出「利用代码已公开披露并可能被使用」的判断，参考链接指向 GitHub 上的公开 PoC 仓库。目前该漏洞未被列入 CISA KEV，也无在野利用的公开证据。
技术细节
问题出在 httpd 服务处理防火墙配置的函数 formSetFirewallCfg 中。接口接收 firewallEn 参数时未校验长度，直接写入栈上固定缓冲区，超长输入即可覆盖栈上的返回地址等控制数据，进而劫持执行流。CVSS 向量 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H 中的 S:C（作用域变更）说明成功利用的影响会越过 httpd 进程本身，波及设备所在网络。
触发路径极为简单：向管理界面的 /goform/SetFirewallCfg 提交一个 firewallEn 字段超长的请求即可。由于 httpd 以 root 运行在多数家用与小型办公路由器上，溢出后的代码执行权限通常是设备最高权限，可被用于改写 DNS、植入流量劫持规则或把设备纳入僵尸网络。
影响评估
满分评分本身有争议——同一记录在不同平台上的口径不完全一致，也有平台指出 CVE 记录只写了 AC19，却与 AC1206 的标签混用，排查时应以设备实际型号与固件版本为准。但就风险实质而言：触发无需认证、PoC 已公开、厂商暂无补丁，三项叠加足以让任何把管理界面暴露在公网的实例处于随时可被接管的状态。
对中小企业来说，这类设备往往同时承担出口路由与内网网关角色，一旦被控，攻击者可以静默修改 DNS 解析、劫持管理后台登录页，或把内网流量引向恶意节点，而设备本身没有任何告警能力。
修复建议
由于暂无官方补丁，处置以收缩暴露面为主：
- 立即关闭远程管理（Remote Management / Web 访问 WAN 侧）功能，管理界面只保留内网访问；
- 在边界防火墙或 WAF 上阻断来自非信任网段对 /goform/ 路径的访问；
- 把设备管理口划入独立管理 VLAN，禁止与业务终端同网段；
- 核查固件版本是否为 16.03.10.07，并持续关注厂商固件更新页面；
- 对已停止支持的老旧型号，评估直接更换，不要指望补丁。
curl -s -o /dev/null -w "%{http_code}\n" http://192.168.0.1/goform/SetFirewallCfg
curl -s http://192.168.0.1/goform/getSysInfo | head -20日志侧可关注 /goform/SetFirewallCfg 的异常 POST、firewallEn 字段长度明显超出正常值的请求，以及管理界面出现来源为公网 IP 的成功登录记录。