Múltiples vulnerabilidades en productos de TP-Link

Fecha de publicación 30/01/2026

Identificador

INCIBE-2026-073

Importancia

4 - Alta

Recursos Afectados

Están afectadas todas aquellas versiones anteriores a las siguiente:

Archer RE605X V3.0 versión (EU)_V3_20260113 y (US)_V3_20260126;
VX800v v1.0 versión 800.0.11 (0.11.0 3.0.0 v603c.0 Compilación 250702;
VX800v v1.0 versión 800.0.12 (0.12.0 3.0.0 v603c.0 Compilación 250912;
VX800v v1.0 versión 800.0.16 (0.16.0 3.0.0 v603c.0 Compilación 251212;
VIGI C385 V1 versión 3.1.1.

Descripción

TP-Link ha publicado 7 vulnerabilidades, 3 altas y 4 medias, en varios de sus productos en los cuales, si no se mitigan estas vulnerabilidades, podrían permitir a un atacante comprometer la confidencialidad, integridad y disponibilidad de los datos así como ejecutar código como administrador (root).

Solución

Se recomienda actualizar a la última versión del firmware de cada para corregir las vulnerabilidades.

Detalle

Las vulnerabilidades de severidad alta se describen a continuación:

La función encargada de restaurar las copias de seguridad no verifica correctamente las etiquetas inesperadas o desconocidas que puedan estar dentro del archivo de copias de seguridad. Esto significa que, en caso de que una persona altere un archivo de copia de seguridad, el sistema puede interpretar incorrectamente esas etiquetas manipuladas. Esto posibilita la ejecución de comandos no autorizados con privilegios de administrador (root).
Una vulnerabilidad en el cifrado de la interfaz web permite a un atacante cercano intentar adivinar la clave AES, lo cual podría descifrar el tráfico interceptado. A pesar de que el atacante tiene que estar próximo a la red, no es necesario que se autentique, lo cual puede comprometer la privacidad y la integridad de los datos enviados.
Un mal funcionamiento de la API web del TP-Link VIGI C385 V1 en el manejo de datos de entrada podría permitir a un atacante ejecutar código de forma remota, desbordamiento de búfer y ejecutar órdenes maliciosas con privilegios altos.

CVE