CVE-2026-9151
OpenVPN में कमांड इंजेक्शन भेद्यता कई TP-Link Archer राउटर पर
- प्रकाशित
- 10 जून 2026
- अद्यतन
- 11 जून 2026
- सीएनए असाइन करना
- TPLink
- साक्ष्य देखे गए
- 4 नव॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xकम · अगले 30 दिन
- प्रतिशत
- 64.9%
- मॉडल दिनांक
- 4 नव॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
TP-Link Archer AX12 v1, AX17 v1, AX18 v1 और AX1300 v1.6 राउटर के VPN मॉड्यूल में एक OS कमांड इंजेक्शन भेद्यता मौजूद है। यह भेद्यता एक निकटवर्ती, प्रमाणित हमलावर को विशेष रूप से तैयार की गई VPN क्लाइंट कॉन्फ़िगरेशन फ़ाइल आयात करके डिवाइस पर मनमाने कमांड निष्पादित करने की अनुमति देती है। यह समस्या विशेष वर्णों की अनुचित फ़िल्टरिंग के कारण उत्पन्न होती है। इस भेद्यता का सफल शोषण एक हमलावर को प्रभावित डिवाइस पर पूर्ण नियंत्रण प्राप्त करने में सक्षम बना सकता है, जिससे संभावित रूप से कॉन्फ़िगरेशन की अखंडता, नेटवर्क सुरक्षा और सेवा उपलब्धता से समझौता हो सकता है।
स्रोत
TP-Link Archer AX17 v1 VPN क्लाइंट इम्पोर्ट में प्रमाणित OS कमांड इंजेक्शन।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।