TP-Link Archer BE800 V1 — RCE na LAN via Controle dos Pais

CVE: CVE-2026-9254
CVSS: 8.7 (Alto)
Autenticação necessária: Nenhuma
Posição na rede: Apenas LAN
Encontrado na versão 1.3.2 Build 20251015 rel.10659(5553)

Resumo

O endpoint de bloqueio do controle dos pais (/cgi-bin/luci/blocking?form=vercode) é acessível a partir da LAN sem credenciais de administrador. O parâmetro url é passado para um comando de shell via fork_exec(string.format("%s %s %s", BINARY, owner_id, url)) após uma verificação de lista de caracteres proibidos. A lista de bloqueio não inclui o caractere de nova linha (0x0a), permitindo que um comando terminado por nova linha seja anexado. Os comandos são executados como root.

Uma falha secundária de divulgação de informações no mesmo endpoint permite ler o vercode atual sem credenciais, eliminando a única informação que não pode ser observada a partir da URL de redirecionamento do portal cativo.

---

Artigo no Blog

https://uploadsecurity.com/Blog/CVE-2026-16348_research.html

---

Pesquisador

[email protected]