CVE-2023-27098
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Aplikacja TP-Link Tapo APK do wersji 2.12.703 zawiera zakodowane na stałe dane uwierzytelniające do panelu logowania. Oznacza to, że każdy, kto zna te dane, może uzyskać nieautoryzowany dostęp do aplikacji.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do aplikacji i zarządzania urządzeniami IoT, co może prowadzić do naruszenia prywatności i bezpieczeństwa sieci domowej lub firmowej.
Rekomendacja
Zaleca się natychmiastową aktualizację aplikacji TP-Link Tapo do najnowszej wersji, która usuwa tę podatność. Należy również zmienić domyślne hasła dostępu do urządzeń.
Inne podatności w TP-Link Tapo
Zobacz wszystkie- CVE-2026-34118Średnie
W kamerach TP-Link Tapo C100/C101 v5 oraz C520WS v2.6 wykryto podatność przepełnienia bufora na stercie w logice parsowania treści żądań HTTP POST. Brak walidacji pozostałej pojemności bufora po dynamicznej alokacji oraz niewystarczająca kontrola granic przy obsłudze zewnętrznych danych HTTP umożliwiają zapis poza przydzielony obszar.
- CVE-2026-0651Wysokie
W kamerach TP-Link Tapo C260 v1, D235 v1, C211 v2 i C520WS v2.6 wykryto podatność typu path traversal w obsłudze żądań GET przez serwer HTTP. Serwer normalizuje ścieżkę przed pełnym dekodowaniem danych URL i w razie błędu normalizacji używa surowej ścieżki, co pozwala na ominięcie ograniczeń katalogów.
Oryginalny opis (angielski, źródło NVD)
TP-Link Tapo APK up to v2.12.703 uses hardcoded credentials for access to the login panel.