安全性公告：TP-Link Archer C5 Web 管理介面中的儲存型跨站腳本（XSS）漏洞 (CVE-2026-8699)

漏洞描述及影響：

CVE-2026-8699

在 Archer C5 v6.8 路由器的網頁管理介面中發現了已儲存的跨站腳本 (XSS) 漏洞，原因是伺服器端驗證不足，且在特定欄位中對使用者控制的輸入缺乏適當的輸出編碼。具備管理員權限的攻擊者可將精心製作的 HTML 或 JS 酬載注入受影響的欄位。該酬載會被儲存，並隨後在管理員的瀏覽器中顯示受影響的頁面時執行。

成功利用此漏洞允許在管理員的瀏覽器中執行任意 JavaScript，可能導致工作階段劫持及未經授權存取路由器設定，並可能引致敏感資料外洩及修改裝置設定。

CVSS v4.0 評分：7.0 / 高

CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

受影響產品／版本及修復方案：

建議事項：

對於執行ISP 受管理韌體的受影響裝置，修復工作正由各自的互聯網服務供應商 (ISP) 直接處理。

TP-Link 已向服務印度的 ISP 提供更新的韌體，修復後的韌體正作為 ISP 受管理更新流程的一部分直接部署至受影響的裝置。在大多數情況下，終端用戶無需採取手動操作來取得或安裝更新。

受影響 ISP 版本的韌體映像檔不提供公開下載，亦不會提供任何獨立的韌體連結。

需要確認更新狀態或尚未收到更新的客戶，應聯絡其 ISP 以取得更多資訊。

透過零售渠道購買並使用標準 TP-Link 韌體的裝置不受此問題影響。

免責聲明：

本安全公告僅供參考，如有變更恕不另行通知。本公告提供的資料均按「現狀」（“as is”）提供，不包含任何形式的保證。TP-Link 建議客戶套用可用的韌體更新，或實施本公告提供的相應緩解措施。未按描述進行更新或緩解的裝置／系統可能會繼續面臨安全風險。