TP-Link Archer BE800 V1 — ペアレンタルコントロール LAN RCE

CVE: CVE-2026-9254
CVSS: 8.7 (High)
認証要否: 不要
ネットワーク位置: LAN のみ
確認バージョン 1.3.2 Build 20251015 rel.10659(5553)

概要

ペアレンタルコントロールのブロック用エンドポイント (/cgi-bin/luci/blocking?form=vercode) は、管理者認証情報なしで LAN から到達可能です。url パラメータは、文字の拒否リストチェックを経た後、fork_exec(string.format("%s %s %s", BINARY, owner_id, url)) を介してシェルコマンドに渡されます。拒否リストには改行文字 (0x0a) が含まれていないため、改行で終端されたコマンドを追加できます。コマンドは root として実行されます。

同じエンドポイントには二次的な情報漏洩の脆弱性があり、認証情報なしで現在の vercode を読み取ることができます。これにより、キャプティブポータルのリダイレクト URL から観測できない唯一の情報が不要になります。

---

ブログ記事

https://uploadsecurity.com/Blog/CVE-2026-16348_research.html

---

研究者

[email protected]