Рекомендации по безопасности, связанные с уязвимостями внедрения команд и обхода пути в TP-Link Deco BE25 (CVE-2026-0654, CVE-2026-0655 и CVE-2026-22229)

Описание уязвимостей и их воздействия:

CVE-2026-0654: Уязвимость внедрения команд (Command Injection)

Некорректная обработка входных данных в веб-интерфейсе администратора позволяет выполнить специально сформированный ввод как часть команды операционной системы. Аутентифицированный атакующий из той же сети (adjacent) может выполнять произвольные команды через специально сформированный файл конфигурации, что влияет на конфиденциальность, целостность и доступность устройства.

Оценка CVSS v4.0: 8.5 / Высокая

CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L

CVE-2026-0655: Уязвимость обхода пути (Path Traversal)

Уязвимость, связанная с недостаточным ограничением пути к каталогу («обход пути»), в веб-модулях позволяет аутентифицированному атакующему из той же сети (adjacent) читать произвольные файлы или вызывать отказ в обслуживании.

Оценка CVSS v4.0: 6.9 / Средняя

CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:H/SC:N/SI:N/SA:L

CVE-2026-22229 (Ранее опубликованная уязвимость)

Ранее раскрыта в Уведомлении о безопасности об уязвимостях внедрения команд на Archer BE230 (CVE-2026-0630, CVE-2026-0631, CVE-2026-22221-22227, CVE-2026-22229) | TP-Link, также затрагивает данный продукт. Детали уязвимости остаются неизменными; пожалуйста, обратитесь к оригинальному уведомлению.

Затронутые продукты/версии и исправления:

Рекомендации:

Мы настоятельно рекомендуем пользователям с затронутыми устройствами предпринять следующие действия:

1. Загрузите и установите последнюю версию прошивки, чтобы устранить уязвимости.

EN: Загрузки для Deco BE25 | TP-Link

KZ: Загрузки для Deco BE25 | TP-Link Казахстан

Благодарности

Мы благодарим caprinuxx, jro и sunshinefactory за ответственное сообщение об этих проблемах нам.

Отказ от ответственности:

Если вы не предпримете все рекомендуемые действия, эта уязвимость останется. TP-Link не может нести ответственность за последствия, которых можно было бы избежать, следуя данному уведомлению.