FICHE CVE

CVE-2026-9151

Publiée le 2026-06-10 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les routeurs TP-Link Archer AX12 v1, AX17 v1, AX18 v1 et AX1300 v1.6 sont vulnérables à une faille d'injection de commandes dans leurs modules VPN. Un attaquant disposant d'identifiants d'administration et d'un accès au réseau local peut prendre le contrôle total de l'appareil en important un fichier de configuration VPN malveillant. Étant donné que cela nécessite une authentification de haut niveau ainsi qu'une proximité physique ou sans fil, le risque est limité aux utilisateurs ayant déjà un accès privilégié au routeur.

CVSS 4.08.5 ÉLEVÉE

Type de faiblesse

Injection de commandes système · CWE-78

Publiée2026-06-10

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueAdjacent

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Faible

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Faible

RÉFÉRENCES

Description officielle du NVD (en anglais)

An OS command injection vulnerability exists in the VPN module of TP-Link Archer AX12 v1, AX17 v1. AX18 v1, and AX1300 v1.6 routers. This vulnerability allows an adjacent, authenticated attacker to execute arbitrary commands on the device by importing a specially crafted VPN client configuration file. The issue stems from improper filtering of special characters. Successful exploitation of this vulnerability may enable an attacker to gain full control of the affected device, potentially compromising configuration integrity, network security, and service availability.