TP-Link Archer BE800 V1 — RCE en LAN mediante Control Parental

CVE: CVE-2026-9254
CVSS: 8.7 (Alto)
Autenticación requerida: Ninguna
Posición de red: Solo LAN
Encontrado en la versión 1.3.2 Build 20251015 rel.10659(5553)

Resumen

El endpoint de bloqueo del control parental (/cgi-bin/luci/blocking?form=vercode) es accesible desde la LAN sin credenciales de administrador. El parámetro url se pasa a un comando de shell mediante fork_exec(string.format("%s %s %s", BINARY, owner_id, url)) tras una comprobación de lista de denegación de caracteres. La lista de denegación no incluye el carácter de nueva línea (0x0a), lo que permite añadir un comando terminado en nueva línea. Los comandos se ejecutan como root.

Un fallo secundario de divulgación de información en el mismo endpoint permite leer el vercode actual sin credenciales, eliminando la única pieza de información que no puede observarse desde la URL de redirección del portal cautivo.

---

Artículo del blog

https://uploadsecurity.com/Blog/CVE-2026-16348_research.html

---

Investigador

[email protected]