TP-Link Archer BE450 和 BE7200 存在透過瀏覽器開發者控制台輸入命令的安全漏洞 (CVE-2026-5509)

漏洞與影響描述：

CVE-2026-5509

Archer BE450v1 和 BE7200 v1 路由器中存在一個已通過身分驗證的命令注入漏洞，允許管理員透過網頁管理介面執行系統指令。在成功登入管理介面進行身分驗證後，攻擊者可以利用瀏覽器的開發者主控台（Developer Console）提供精心設計的輸入，該輸入將在未經充分審查的情況下被傳遞到後端系統指令中。

成功利用此漏洞可在裝置上以提升的權限執行任意指令，這可能允許攻擊者啟動未經授權的服務、修改系統設定，或以其他方式完全控制路由器的作業環境。

CVSS v4.0 分數：8.5 / 高

CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

受影響的產品/版本與修正：

建議措施：

我們強烈建議受影響裝置的用戶採取以下行動：

1. 下載並更新至最新的 Firmware 版本以修正該漏洞：

EN: Download for Archer BE450 | TP-Link

JP: Archer BE450 Content | TP-Link Japan

Archer BE7200 Content | TP-Link Japan

備註：BE450 和 BE7200 未在 US 銷售。

免責聲明：

本安全公告僅供參考，如有變更恕不另行通知。本公告所提供的資訊均依「現況」提供，不附帶任何形式的保證。TP-Link 建議客戶套用可用的 Firmware 更新，或實施本公告中提供的記載緩解措施。未按照說明進行更新或緩解的裝置/系統可能會面臨風險，對於因未能實施此類更新而導致的任何損害或損失，TP-Link 概不承擔任何責任或法律責任。