slagzz/cve-2026-9254TP-Link Archer BE800 V1 — अभिभावक नियंत्रण LAN RCE
CVE: CVE-2026-9254
CVSS: 8.7 (उच्च)
प्रमाणीकरण आवश्यक: कोई नहीं
नेटवर्क स्थिति: केवल LAN
संस्करण पर पाया गया 1.3.2 Build 20251015 rel.10659(5553)
अभिभावकीय नियंत्रण ब्लॉकिंग एंडपॉइंट (/cgi-bin/luci/blocking?form=vercode) बिना व्यवस्थापक क्रेडेंशियल के LAN से पहुँचा जा सकता है। url पैरामीटर को कैरेक्टर डेनी-लिस्ट जाँच के बाद fork_exec(string.format("%s %s %s", BINARY, owner_id, url)) के माध्यम से एक शेल कमांड में पास किया जाता है। डेनी-लिस्ट में न्यूलाइन कैरेक्टर (0x0a) शामिल नहीं है, जिससे न्यूलाइन-समाप्त कमांड जोड़ा जा सकता है। कमांड रूट के रूप में निष्पादित होते हैं।
उसी एंडपॉइंट पर एक द्वितीयक सूचना-प्रकटीकरण बग बिना क्रेडेंशियल के वर्तमान vercode पढ़ने की अनुमति देता है, जिससे केवल वह जानकारी समाप्त हो जाती है जो कैप्टिव पोर्टल रीडायरेक्ट URL से देखी नहीं जा सकती।
