CVE-2026-75616

TP-Link Archer C20 v6 Web管理インターフェースにおける認証済みOSコマンドインジェクション。

BPA WAN設定値は適切な無害化なしにsystem()に渡されるため、隣接ネットワーク上の認証済み管理者がrootとしてコマンドを実行できる。

Daniil Gordeev (totekuh) によって発見および報告されました。

影響を受けるバージョン

• Archer C20 v6 EUファームウェア 0.9.1 Build 260811 より前
• Archer C20 v6 USファームウェア 0.9.1 Build 260812 より前
• Archer C20 v6 RUファームウェア 0.9.1 Build 260812 より前

要件

• 管理者資格情報
• ルーターのLAN Webインターフェースへのアクセス
• DHCPを提供するネットワークに接続されたWAN
• Python 3、requests、pycryptodome

使い方

python3 -m pip install requests pycryptodome
python3 bpa-poc.py --target 192.168.0.1 --password '<admin-password>'
nc 192.168.0.1 4445

--list-only を使用すると、コマンドインジェクションをトリガーせずに WANインスタンスを列挙できます。

参照

• TP-Link アドバイザリ
• CVEレコード
• NVDレコード