Уведомление о безопасности, касающееся внедрения произвольных команд через консоль разработчика браузера в устройствах TP-Link Archer BE450 и BE7200 (CVE-2026-5509)

Описание уязвимости и воздействия:

CVE-2026-5509

В маршрутизаторах Archer BE450v1 и BE7200 v1 существует уязвимость внедрения команд после аутентификации, которая позволяет администратору выполнять произвольные системные команды через веб-интерфейс управления. После успешной аутентификации в интерфейсе администратора злоумышленник может использовать консоль разработчика в браузере, передавая специально сформированный ввод, который передаётся внутренним системным командам без надлежащей санитизации.

Успешная эксплуатация позволяет выполнять произвольные команды с повышенными привилегиями на устройстве, что может позволить злоумышленнику запускать несанкционированные службы, изменять конфигурацию системы или иным образом полностью скомпрометировать рабочую среду маршрутизатора.

Оценка CVSS v4.0: 8.5 / Высокий

CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Затронутые продукты/версии и исправления:

Рекомендации:

Мы настоятельно рекомендуем пользователям с затронутыми устройствами предпринять следующие действия:

1. Загрузите и обновите последнюю версию прошивки, чтобы устранить уязвимость:

EN (Английский): Загрузка для Archer BE450 | TP-Link

JP (Японский): Контент Archer BE450 | TP-Link Japan

Контент Archer BE7200 | TP-Link Japan

Примечание: BE450 и BE7200 не продаются в США.

Отказ от ответственности:

Данное уведомление предоставлено исключительно в информационных целях и может быть изменено без предварительного уведомления. Информация предоставляется «как есть» без каких-либо гарантий. TP-Link рекомендует клиентам устанавливать доступные обновления прошивки или применять задокументированные обходные пути, как указано в данном уведомлении. Устройства/системы, которые не обновлены или не защищены, как описано, могут оставаться уязвимыми, и TP-Link отказывается от любой ответственности за любые убытки или ущерб, возникшие в результате невыполнения таких обновлений.