Рекомендации по безопасности: многочисленные уязвимости в Tapo C200 (CVE-2026-15315 и CVE-2026-15316)

Описание уязвимостей и их воздействия

CVE-2026-15315: Несанкционированный обход административной аутентификации через воспроизведение device_confirm

Tapo C200 v5 содержит уязвимость ненадлежащей аутентификации в модуле проверки входа в систему. Злоумышленник в локальной сети может использовать недостатки в проверке параметров запроса для обхода стандартных средств контроля аутентификации и получения административных сессионных токенов.

Успешная эксплуатация может позволить злоумышленнику впоследствии выполнять привилегированные действия по управлению, обеспечить несанкционированный административный доступ и временное нарушение работы сервисов устройства, что приведет к отказу в обслуживании (DoS).

Оценка CVSS v4.0: 8.7 / Высокий

CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

CVE-2026-15316: Отказ в обслуживании через передачу чрезмерно большого зашифрованного учетного значения

Уязвимость ненадлежащей проверки входных данных в службе конфигурации при обработке зашифрованных учетных данных была обнаружена в Tapo C200 v5. Злоумышленник может отправить чрезмерно большие зашифрованные значения, которые могут вызвать сбои при обработке исключений из-за недостаточной проверки, что приведет к сбою или перезагрузке устройства.

Успешная эксплуатация может временно нарушить функциональность управления и мониторинга по HTTPS, что приведет к отказу в обслуживании (DoS) до восстановления сервиса.

Оценка CVSS v4.0: 7.1 / Высокий

CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Затронутые продукты/версии и исправления:

Рекомендации:

Мы настоятельно рекомендуем пользователям затронутых устройств выполнить следующие действия:

1. Следуйте инструкциям для обновления до последней версии прошивки:

US: Загрузка для Tapo C200 | TP-Link

EN: Загрузка для Tapo C200 | TP-Link

Отказ от ответственности:

Настоящее уведомление предоставлено исключительно в информационных целях и может быть изменено без предварительного уведомления. Информация предоставляется «как есть» без каких-либо гарантий. TP-Link рекомендует клиентам своевременно устанавливать доступные обновления прошивки или применять документированные обходные решения, указанные в данном уведомлении. Устройства/системы, которые не обновлены или не защищены описанным образом, могут оставаться уязвимыми, и TP-Link снимает с себя любую ответственность за любые убытки или ущерб, возникшие в результате невыполнения таких обновлений.