CVE-2026-75616

Authentifizierte OS-Befehlsinjektion in der Webverwaltungsoberfläche des TP-Link Archer C20 v6.

BPA-WAN-Konfigurationswerte werden ohne ausreichende Neutralisierung an system() übergeben, wodurch ein authentifizierter Administrator im angrenzenden Netzwerk Befehle als root ausführen kann.

Entdeckt und gemeldet von Daniil Gordeev (totekuh).

Betroffene Versionen

• Archer-C20-v6-EU-Firmware älter als 0.9.1 Build 260811
• Archer-C20-v6-US-Firmware älter als 0.9.1 Build 260812
• Archer-C20-v6-RU-Firmware älter als 0.9.1 Build 260812

Voraussetzungen

• Administrator-Zugangsdaten
• Zugriff auf die LAN-Weboberfläche des Routers
• WAN, das mit einem Netzwerk verbunden ist, das DHCP bereitstellt
• Python 3, requests und pycryptodome

Verwendung

python3 -m pip install requests pycryptodome
python3 bpa-poc.py --target 192.168.0.1 --password '<admin-password>'
nc 192.168.0.1 4445

Verwenden Sie --list-only, um WAN-Instanzen aufzulisten, ohne die Befehlsinjektion auszulösen.

Referenzen

• TP-Link-Sicherheitshinweis
• CVE-Eintrag
• NVD-Eintrag