Validación de entrada incorrecta en Range Extenders de TP-Link

Fecha de publicación 25/05/2026

Identificador

INCIBE-2026-374

Importancia

4 - Alta

Recursos Afectados

RE305 v1: versiones anteriores a la V1_20260515;
RE360 v1: versiones anteriores a la V1_20260515;
RE580D v1: versiones anteriores a la V1_20260515;
RE650 v1: versiones anteriores a la V1_20260429;
TL-WA860RE v4: versiones anteriores a la V4_20260515.

Descripción

TP-Link ha publicado una vulnerabilidad de severidad alta que podría permitir a un atacante obtener el control administrativo total del dispositivo afectado.

Solución

Descargar y actualizar a la última versión del firmware:

Detalle

CVE-2026-3294: esta vulnerabilidad consiste en un fallo en el firmware de determinados extensores TP-Link, donde el panel de administración web no verifica correctamente la validez de los datos recibidos durante el inicio de sesión. Esto permite que un atacante conectado a la misma red local modifique los parámetros de la solicitud HTTP para evadir las restricciones de seguridad y restablecer la contraseña del administrador sin conocer la clave actual. Al tomar el control total del dispositivo, el atacante puede alterar la configuración de red, desviar el tráfico de datos o bloquear a los usuarios legítimos, comprometiendo por completo la seguridad y el funcionamiento del equipo, riesgo que se mitiga instalando las actualizaciones de firmware oficiales provistas por el fabricante.

CVE