TP-Link Archer BE800 V1 — ペアレンタルコントロール LAN RCE

CVE: CVE-2026-9254
CVSS: 8.7 (高)
認証要件: なし
ネットワーク位置: LANのみ
発見されたバージョン 1.3.2 Build 20251015 rel.10659(5553)

概要

ペアレンタルコントロールのブロッキングエンドポイント（/cgi-bin/luci/blocking?form=vercode）は、管理者認証なしでLANから到達可能です。url パラメータは、文字の拒否リストチェックの後、fork_exec(string.format("%s %s %s", BINARY, owner_id, url)) を介してシェルコマンドに渡されます。拒否リストには改行文字（0x0a）が含まれていないため、改行で終了するコマンドを追加できます。コマンドはrootとして実行されます。

同じエンドポイントの二次的な情報開示バグにより、認証なしで現在のvercodeを読み取ることができ、キャプティブポータルのリダイレクトURLからは観測できない唯一の情報の欠落を解消します。

---

研究者

[email protected]