Aviso de segurança: Múltiplas vulnerabilidades no Tapo C210 (CVE-2026-105814 e CVE-2026-105815)

Descrição das vulnerabilidades e do impacto

CVE-2026-105814: Bypass de autenticação dependente da ordem na API JSON do DS

O TP-Link Tapo C210 V3.60 contém uma vulnerabilidade de bypass de autenticação na API JSON do DS. Uma requisição JSON maliciosa contendo tanto uma operação protegida quanto campos públicos relacionados à integração pode fazer com que as verificações de autorização em nível de módulo sejam aplicadas de forma inconsistente, permitindo que operações protegidas da câmera, incluindo o controle de panorâmica, inclinação e zoom, sejam executadas sem uma sessão autenticada válida.

A exploração bem-sucedida pode permitir que um invasor não autenticado na rede adjacente execute operações protegidas da câmera, incluindo o controle de panorâmica, inclinação e zoom (PTZ), sem uma sessão autenticada válida. Isso pode resultar na manipulação não autorizada da funcionalidade da câmera.

Pontuação CVSS v4.0: 5,3 / Média

CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

CVE-2026-105815: Exposição de material de credencial que leva ao acesso não autorizado à sessão de mídia transmitida

O TP-Link Tapo C210 V3.60 pode expor credenciais compartilhadas e metadados criptográficos por meio de solicitações não autenticadas da API JSON do Streamd. As credenciais compartilhadas expostas podem ser aceitas pelo mecanismo de autenticação Streamd Digest como uma senha administrativa, permitindo que um invasor não autenticado em uma rede adjacente estabeleça sessões de mídia criptografadas sem conhecimento da senha da conta do dispositivo.

A exploração bem-sucedida pode revelar credenciais e material criptográfico, permitindo acesso não autorizado a sessões de mídia criptografadas.

Pontuação CVSS v4.0: 7,1 / Alta

CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Produtos/Versões afetados e correções:

Recomendações:

Recomendamos fortemente que os usuários com dispositivos afetados tomem as seguintes providências:

1. Siga as instruções para atualizar para a versão mais recente do firmware:

EUA: Download para Tapo C210 | TP-Link

Aviso:

Este aviso é fornecido apenas para fins informativos e está sujeito a alterações sem aviso prévio. As informações são fornecidas & ldquo;as sem garantias de qualquer tipo. A TP-Link recomenda que os clientes apliquem prontamente as atualizações de firmware disponíveis ou implementem as soluções alternativas documentadas, conforme fornecido neste aviso. Dispositivos/sistemas que não forem atualizados ou tiverem suas vulnerabilidades mitigadas conforme descrito podem permanecer vulneráveis, e a TP-Link se isenta de qualquer responsabilidade por quaisquer danos ou perdas decorrentes da falha na implementação de tais atualizações.