Предупреждение о безопасности: уязвимость, связанная с открытым перенаправлением без аутентификации, в веб-интерфейсе Archer AX20 (CVE-2026-10562)

Описание уязвимости и ее влияния:

CVE-2026-10562

В устройстве Archer AX20 V2 была обнаружена уязвимость, связанная с неавторизованным перенаправлением URL, вызванная некорректной проверкой пользовательского URL, передаваемого через веб-интерфейс. Неавторизованный злоумышленник может сформировать URL, содержащий URL-кодированные последовательности обхода каталогов (path traversal).

При обработке встроенным веб-сервером такие запросы могут привести к тому, что устройство будет возвращать HTTP-перенаправления (3xx) на внешние домены, контролируемые злоумышленником.

Оценка по CVSS v4.0: 5.9 / Средняя

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N

Затронутые продукты/версии и исправления:

Примечание: Archer AX20 V2 не продается на территории США.

Рекомендации:

Мы настоятельно рекомендуем пользователям затронутых устройств выполнить следующие действия:

1. Обновить затронутые устройства до последней версии прошивки, в которой устранена данная уязвимость:

EN: Загрузка прошивки для Archer AX20 | TP-Link

Отказ от ответственности:

Данное уведомление предоставляется исключительно в информационных целях и может быть изменено без предварительного уведомления. Информация предоставляется «как есть» без каких-либо гарантий. TP-Link рекомендует клиентам как можно скорее установить доступные обновления прошивки или применить документированные меры по устранению риска, описанные в настоящем уведомлении. Устройства и системы, которые не были обновлены или защищены указанными способами, могут оставаться уязвимыми. TP-Link не несет ответственности за какой-либо ущерб или убытки, возникшие вследствие несвоевременного применения указанных обновлений или мер по устранению уязвимости.