TP-Link Archer BE800 V1 — 認証済みRCE（VPNキーインジェクション経由）

CVE: CVE-2026-16348
CVSS: 8.5（高） — CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L
必要な認証: 有効な管理者資格情報
ネットワーク位置: ネットワーク（管理インターフェースが公開されている場合はリモート）

---

概要

vpn.lua のVPNサーバー管理エンドポイントは、ユーザーが指定したサーバーの key フィールドを、execute(string.format("vpn_core.sh start %s %s %s %s", ...)) を介してシェルコマンドに渡します。key フィールドは、バッククォート（`）、$、(、)、{、} — POSIXシェルのコマンド置換演算子の完全なセット — を許可する許可リストに対して検証されます。key フィールドに を注入すると、root として任意のコマンドが実行されます。