Рекомендация по безопасности: внедрение команд ОС (OS Command Injection), выполняемое авторизованным пользователем, в компоненте автономной загрузки (Offline Download) устройства Archer AX3000 v2 (CVE-2026-118865)

Описание уязвимости и воздействия:

CVE-2026-118865: Аутентифицированная инъекция команд ОС в компоненте Offline Download устройства Archer AX3000 v2

В компоненте Offline Download (выделение USB-накопителя) устройства Archer AX3000 v2 существует уязвимость аутентифицированной инъекции команд ОС. При подключённом USB-накопителе аутентифицированный администратор может отправить специально сформированное значение пути, содержащее метасимволы оболочки, которые не нейтрализуются должным образом перед передачей системной команде.

Успешная эксплуатация может позволить выполнение произвольных команд на затронутом устройстве.

Оценка CVSS v4.0: 7.3 / Высокая

CVSS:4.0/AV:A/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Затронутые продукты/версии и исправления:

Рекомендации:

Мы настоятельно рекомендуем пользователям затронутых устройств выполнить следующие действия:

1. Обновите затронутые устройства до последней версии прошивки, в которой устранена уязвимость:

США: Загрузка для Archer AX3000 | TP-Link

Отказ от ответственности:

Данное уведомление предоставляется исключительно в информационных целях и может быть изменено без предварительного уведомления. Информация предоставляется «как есть» без каких-либо гарантий. TP-Link рекомендует клиентам своевременно применять доступные обновления прошивки или использовать документированные обходные решения, указанные в данном уведомлении. Устройства/системы, которые не обновлены или не защищены описанным образом, могут оставаться уязвимыми, и TP-Link снимает с себя любую ответственность за любой ущерб или убытки, возникшие в результате неисполнения таких обновлений.