Бюллетень безопасности: множественные уязвимости в TP-Link Archer MR600 и TL-MR6400 (CVE-2026-76652 и CVE-2026-76653)

Описание уязвимостей и их последствий:

TP-Link выявил две уязвимости, затрагивающие загрузку файлов и управление конфигурацией VPN в Archer MR600 и TL-MR6400 v8.

CVE-2026-76652: Уязвимость обхода каталога с аутентификацией в функциональности загрузки файлов

Выявлена уязвимость обхода каталога с аутентификацией в функциональности загрузки файлов. Из-за недостаточной проверки предоставляемой пользователем информации о файле аутентифицированный удалённый злоумышленник с доступом к затронутой функциональности загрузки может загрузить специально сформированный файл и вызвать его запись за пределы предполагаемого каталога.

Успешная эксплуатация может позволить аутентифицированному удалённому злоумышленнику записывать файлы в непредусмотренные места, потенциально перезаписывая или изменяя файлы, доступные затронутой службе; выполнение произвольного кода продемонстрировано не было.

Оценка CVSS v4.0: 4.8 / Средний

CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

CVE-2026-76653: Отсутствие аутентификации в управлении конфигурацией VPN

Выявлена уязвимость отсутствия аутентификации в управлении конфигурацией VPN из-за ненадлежащего контроля доступа; удалённый неаутентифицированный злоумышленник может получить доступ и изменить информацию о конфигурации VPN без действительных учётных данных.

Успешная эксплуатация может позволить удалённому неаутентифицированному злоумышленнику раскрыть и изменить информацию о конфигурации VPN.

Оценка CVSS v4.0: 5.3 / Средний

CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Затронутые продукты/версии и исправления:

Рекомендации:

Мы настоятельно рекомендуем пользователям затронутых устройств предпринять следующие действия:

1. Следуйте инструкциям для обновления до последней версии прошивки, чтобы устранить уязвимости:

EN: Загрузка для Archer MR600 | TP-Link

Загрузка для TL-MR6400 | TP-Link

Примечание: Archer MR600 и TL-MR6400 не продаются в США.

Отказ от ответственности:

Настоящее уведомление предоставлено исключительно в информационных целях и может быть изменено без предварительного уведомления. Информация предоставляется «как есть» без каких-либо гарантий. TP-Link рекомендует клиентам незамедлительно установить доступные обновления прошивки или применить описанные в данном уведомлении обходные меры. Устройства/системы, не обновлённые или не защищённые описанным образом, могут оставаться уязвимыми, и TP-Link снимает с себя любую ответственность за любые убытки или ущерб, возникшие в результате невыполнения таких обновлений.