CVE-2026-9151
Vulnérabilité d'injection de commandes dans OpenVPN sur plusieurs routeurs TP-Link Archer
- Publié
- 10 juin 2026
- Mise à jour
- 11 juin 2026
- Attribution de CNA
- TPLink
- Preuve observée
- 4 nov. 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XFaible · 30 prochains jours
- Percentile
- 64,9 %
- Date du modèle
- 4 nov. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Une vulnérabilité d'injection de commandes OS existe dans le module VPN des routeurs TP-Link Archer AX12 v1, AX17 v1, AX18 v1 et AX1300 v1.6. Cette vulnérabilité permet à un attaquant adjacent et authentifié d'exécuter des commandes arbitraires sur l'appareil en important un fichier de configuration de client VPN spécialement conçu. Le problème provient d'un filtrage inapproprié des caractères spéciaux. L'exploitation réussie de cette vulnérabilité peut permettre à un attaquant de prendre le contrôle total de l'appareil affecté, compromettant potentiellement l'intégrité de la configuration, la sécurité du réseau et la disponibilité du service.
Sources
Injection de commande OS authentifiée dans l'import du client VPN du TP-Link Archer AX17 v1.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.