Уведомление о безопасности: Уязвимость, связанная с аутентифицированной произвольной записью в файл, на нескольких устройствах (CVE-2026-12339)

Уведомление о безопасности: Уязвимость аутентифицированной произвольной записи файлов в нескольких устройствах (CVE-2026-12339)

Описание уязвимости и ее влияние:

CVE-2026-12339

Уязвимость Zip Slip в функциональности обновления ISP WebUI позволяет выполнять произвольную запись файлов с помощью специально созданного архива, содержащего последовательности обхода каталогов. Аутентифицированный администратор может перезаписывать произвольные файлы в системе.

Успешная эксплуатация может позволить перезаписывать произвольные файлы в базовой системе, что потенциально влияет на целостность и доступность системы.

Оценка CVSS v4.0: 6.9 / Средний

CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N

Затронутые продукты/версии и исправления:

Рекомендации:

Мы настоятельно рекомендуем пользователям с затронутыми устройствами выполнить следующие действия:

1. Обновите затронутые устройства до последней версии прошивки, которая устраняет уязвимость:

EN: Загрузка для TL-MR6400 | TP-Link

Загрузка для Archer MR600 | TP-Link

Загрузка для Archer MR200 | TP-Link

Примечание: TL-MR6400, Archer MR600 и Archer MR200 не продаются в США.

Отказ от ответственности:

Настоящее уведомление предоставлено исключительно в информационных целях и может быть изменено без предварительного уведомления. Информация предоставляется «как есть» без каких-либо гарантий. TP-Link рекомендует клиентам незамедлительно применять доступные обновления прошивки или внедрять задокументированные обходные решения, как указано в данном уведомлении. Устройства/системы, которые не обновлены или не защищены описанным образом, могут оставаться уязвимыми, и TP-Link снимает с себя любую ответственность за любые убытки или потери, возникшие в результате невыполнения таких обновлений.