slagzz/cve-2026-9254TP-Link Archer BE800 V1 — Kindersicherung LAN RCE
Der Endpunkt zur Blockierung der Kindersicherung (/cgi-bin/luci/blocking?form=vercode) ist vom LAN aus ohne Administrator-Anmeldedaten erreichbar. Der Parameter url wird nach einer Prüfung gegen eine Zeichen-Sperrliste über einen Shell-Befehl mittels fork_exec(string.format("%s %s %s", BINARY, owner_id, url)) übergeben. Die Sperrliste enthält nicht das Zeilenumbruchzeichen (0x0a), wodurch ein durch einen Zeilenumbruch abgeschlossener Befehl angehängt werden kann. Befehle werden als root ausgeführt.
Ein sekundärer Fehler zur Offenlegung von Informationen am selben Endpunkt ermöglicht das Auslesen des aktuellen vercode ohne Anmeldedaten und beseitigt damit die einzige Information, die nicht aus der Redirect-URL des Captive Portals ersichtlich ist.
https://uploadsecurity.com/Blog/CVE-2026-16348_research.html
