TP-Link Archer BE800 V1 — RCE sur le LAN via le contrôle parental

CVE : CVE-2026-9254
CVSS : 8.7 (Élevé)
Authentification requise : Aucune
Position réseau : LAN uniquement
Détecté sur la version 1.3.2 Build 20251015 rel.10659(5553)

Résumé

Le point de terminaison de blocage du contrôle parental (/cgi-bin/luci/blocking?form=vercode) est accessible depuis le LAN sans identifiants administrateur. Le paramètre url est transmis à une commande shell via fork_exec(string.format("%s %s %s", BINARY, owner_id, url)) après une vérification par liste de refus de caractères. La liste de refus n'inclut pas le caractère de saut de ligne (0x0a), ce qui permet d'ajouter une commande terminée par un saut de ligne. Les commandes s'exécutent en tant que root.

Une faille secondaire de divulgation d'informations sur le même point de terminaison permet de lire le vercode actuel sans identifiants, éliminant ainsi le seul élément d'information qui ne peut pas être observé depuis l'URL de redirection du portail captif.

---

Article de blog

https://uploadsecurity.com/Blog/CVE-2026-16348_research.html

---

Chercheur

[email protected]