Authenticated RCE via Parental Control command injection
The authenticated remote command execution (RCE) vulnerability exists in the Parental Control page on TP-Link Archer C7(EU) V2 and TL-WR841N/ND(MS) V9. This issue affects Archer C7(EU) V2: before 241108 and TL-WR841N/ND(MS) V9: before 241108. Both products have reached the status of EOL (end-of-life). It's recommending to purchase the new product to ensure better performance and security. If replacement is not an option in the short term, please use the second reference link to download and install the patch(es).
- Опубликовано
- 29 авг. 2025 г.
- Обновлено
- 17 июн. 2026 г.
- EPSS
- 33,5 % · 98-й процентиль
- CWE
- CWE-78
Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.
Инструменты для отчёта
Оценка срочности
74
На этой неделе
Не ждите следующего окна обслуживания.
- CVSS
- 34 / 40 · 8.6 / 10
- CISA KEV
- 30 / 30 · В списке
- EPSS
- 10 / 30 · 33,5 %
Решение CISA SSVC
- Эксплуатация
- активная
- Автоматизируемо
- нет
- Техническое влияние
- полное
Vulnrichment: входные данные дерева решений CISA.
Оценка CNA и NVD
- NVD
- —
- CNA · TPLink
- 8,6
- NVD ещё не выставил свою оценку; показана оценка CNA.
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.
Активно эксплуатируется
CISA добавило это в каталог активно эксплуатируемых уязвимостей (KEV) 3 сент. 2025 г.. Это указывает на реальные атаки, а не теорию.
Срок устранения для госорганов: 24 сент. 2025 г..
Анализ Noroxi
Анализа Noroxi для этой записи пока нет
Мы не пишем анализ вручную для сотен тысяч уязвимостей в базе; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.
Мы используем этот продукт, нужна помощьЗатронутые системы
| Вендор | Продукт | CPE |
|---|---|---|
| tp-link | tl-wr841n firmware | cpe:2.3:o:tp-link:tl-wr841n_firmware |
| tp-link | tl-wr841n | cpe:2.3:h:tp-link:tl-wr841n |
| tp-link | tl-wr841nd firmware | cpe:2.3:o:tp-link:tl-wr841nd_firmware |
| tp-link | tl-wr841nd | cpe:2.3:h:tp-link:tl-wr841nd |
| tp-link | archer c7 firmware | cpe:2.3:o:tp-link:archer_c7_firmware |
| tp-link | archer c7 | cpe:2.3:h:tp-link:archer_c7 |
Затронутые версии
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- tp-link archer c7 firmwareдо 241108
- tp-link tl-wr841n firmwareдо 241108
- tp-link tl-wr841nd firmwareдо 241108
Версии, заявленные вендором
Диапазоны затронутых версий, заявленные назначающей организацией (TPLink). Не зависят от анализа CPE в NVD и обычно опережают его.
TP-Link Systems Inc. Archer C7(EU) V2
- до 241108затронута · date
TP-Link Systems Inc. TL-WR841N/ND(MS) V9
- до 241108затронута · date
Тот же продукт
tp-link: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2023-50224TP-Link TL-WR841N dropbearpwd Improper Authentication Information Disclosure VulnerabilityKEV61На этой неделе
- CVE-2020-35576A Command Injection issue in the traceroute feature on TP-Link TL-WR841N V13 (JP) with firmware versions prior to 201216 allows authenticate48В плане
- CVE-2022-25073TL-WR841Nv14_US_0.9.1_4.18 routers were discovered to contain a stack overflow in the function dm_fillObjByStr().43В плане
- CVE-2018-12575On TP-Link TL-WR841N v13 00000001 0.9.1 4.16 v0001.0 Build 171019 Rel.55346n devices, all actions in the web interface are affected by bypas40В плане
- CVE-2022-0162Vulnerability in TP-LinK TL-WR841N wireless router39Наблюдать
- CVE-2019-17147This vulnerability allows remote attackers to execute arbitrary code on affected installations of TP-LINK TL-WR841N routers.39Наблюдать
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| TP-Link Systems Inc. Archer C7(EU) V2 | 241108 | Вендор (CNA) |
| TP-Link Systems Inc. TL-WR841N/ND(MS) V9 | 241108 | Вендор (CNA) |
Статус эксплойта
Готовый эксплойт
Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
- Публикация
- CISA KEV+4 дн.
- Сегодня6 окт. 2026 г.+403 дн.
Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).
Ссылки на патчи и коммиты
Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.
Среди источников нет ссылок на коммит или PR.
Авторы
Все исследователиНашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.
В записи CNA нет авторов.
Кандидаты в варианты
Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.
- CVE-2023-39471с разницей 484 дн.TP-Link TL-WR841N ated_tp Command Injection Remote Code Execution Vulnerability35Наблюдать
Кандидаты в цепочки
Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.
—
Охват bug bounty
Известной публичной программы нет.
Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).
Технические детали
Условия атаки
- Может быть вызвана любым, у кого есть доступ через интернет.
- Требуются права администратора.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- Целостность
- Доступность
- Вектор атаки
- Сеть
- Сложность атаки
- Низкая
- Требуемые привилегии
- Высокие
- Взаимодействие с пользователем
- Не требуется
- Область действия
- X
Класс уязвимости (CWE)
CWE-78 · Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')Вектор CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
nvd-secondary
Первопричина
Пользовательский ввод вставляется в команду оболочки как текст. Оболочка может интерпретировать специальные символы во вводе как часть команды.
Ошибка в коде
Весь класс CWE-78Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.
Уязвимый код
const host = req.body.host;exec("ping -c 1 " + host, onResult);Исправленный код
const host = req.body.host;if (!/^[a-z0-9.-]{1,253}$/i.test(host)) return res.sendStatus(400);execFile("ping", ["-c", "1", host], onResult);Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
Шаблоны атак (CAPEC)
- Command Line Execution through SQL InjectionCAPEC-108вероятность: Low · Very High
- Command DelimitersCAPEC-15вероятность: High · High
- Exploiting Multiple Input Interpretation LayersCAPEC-43вероятность: Medium · High
- Argument InjectionCAPEC-6вероятность: High · High
- OS Command InjectionCAPEC-88вероятность: High · High
Техники ATT&CK
—
Журнал изменений
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
- www.tp-link.com/us/support/faq/4308/
- www.tp-link.com/us/support/faq/4365/
- www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-9377
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.