CVE-2026-100420
Publiée le 2026-10-21 · Dernière modification le 2026-10-22
Le démon cloud-client du routeur Deco BE63 gère la connexion de l'appareil aux services cloud de TP-Link. Une faille dans ce démon permet à un utilisateur authentifié d'accéder à des fichiers de configuration ou à des zones sensibles de la mémoire où sont stockés des identifiants. Cela entraîne l'exposition du mot de passe du compte TP-Link ID en texte clair.
Un attaquant peut utiliser ce mot de passe pour prendre le contrôle total du compte cloud associé, compromettant ainsi la confidentialité des données du compte de l'utilisateur. Comme cela nécessite une authentification de haut niveau et un accès au réseau local, l'opération ne peut pas être effectuée par une personne au hasard sur Internet. Il s'agit d'une attaque ciblée qui exige que l'attaquant dispose déjà d'un accès administratif à l'appareil.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A sensitive information disclosure vulnerability in the cloud-client daemon of Deco BE63 allows authenticated attackers to retrieve the plaintext TP-Link ID account password. Successful exploitation may allow attackers to compromise the associated cloud account and perform unauthorized actions on behalf of the affected user.