CVE-2025-9014
WysokieStreszczenie
W oprogramowaniu routera TP-Link TL-WR841N v14 wykryto podatność polegającą na braku walidacji nagłówka referer w portalu internetowym, co prowadzi do błędu Null Pointer Dereference. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę, aby spowodować odmowę usługi (DoS) na portalu administracyjnym. Problem dotyczy wersji przed 250908.
Ocena ryzyka
Atakujący może zdalnie wyłączyć portal internetowy routera, co uniemożliwi administratorowi zarządzanie urządzeniem i może zakłócić działanie sieci. Brak uwierzytelnienia ułatwia przeprowadzenie ataku, zwiększając ryzyko dla ciągłości działania.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie oprogramowania routera TP-Link TL-WR841N v14 do wersji 250908 lub nowszej, która zawiera poprawkę. Należy również ograniczyć dostęp do portalu administracyjnego tylko z zaufanych sieci.
Inne podatności w TP-Link TL-WR841N
Zobacz wszystkie- CVE-2026-5039Wysokie
TP-Link TL-WR841N v13 wykorzystuje szyfrowanie DES-CBC w protokole debugowania TDDPv2 z kluczem kryptograficznym pochodzącym z domyślnych danych logowania do zarządzania przez sieć, co sprawia, że klucz jest przewidywalny, jeśli urządzenie pozostaje w domyślnej konfiguracji.
- CVE-2026-76651Średnie
Podatność przepełnienia bufora istnieje w wbudowanym serwisie HTTP w TL-WR841N v14 podczas przetwarzania żądań multipart/form-data. Niewystarczająca walidacja kontrolowanego przez atakującego parametru boundary może pozwolić zdalnemu nieuwierzytelnionemu atakującemu na wysłanie spreparowanego żądania, które uszkadza pamięć przez nadpisanie danych poza granicami wewnętrznego bufora.
- CVE-2026-76650Średnie
Podatność polegająca na wyłuskaniu wskaźnika NULL istnieje w TL-WR841N v14 w serwisie UPnP podczas przetwarzania zapytań o zmienne stanu SOAP. Specjalnie spreparowane zapytanie SOAP może spowodować nieoczekiwane zakończenie lub niestabilność procesu obsługującego serwis UPnP.
- CVE-2026-76649Średnie
Podatność polegająca na wyłuskaniu wskaźnika NULL istnieje w TL-WR841N v14 w serwisie UPnP podczas przetwarzania żądań akcji SOAP. Specjalnie spreparowane żądanie akcji SOAP zawierające nieoczekiwaną treść XML może spowodować nieoczekiwane zakończenie działania demona UPnP.
- CVE-2026-9105Średnie
Podatność przepełnienia bufora stosu w interfejsie zarządzania sieciowego routera TP-Link TL-WR841N v14 umożliwia uwierzytelnionemu atakującemu zdalne spowodowanie awarii urządzenia poprzez wysłanie spreparowanego żądania HTTP. Skuteczne wykorzystanie prowadzi do odmowy usługi (DoS), powodując crash i automatyczny restart urządzenia.
- CVE-2022-30024Wysokie
Bufor w demonie httpd na routerach TP-Link TL-WR841N V12 (firmware 3.16.9) umożliwia uwierzytelnionemu zdalnemu atakującemu wykonanie dowolnego kodu poprzez żądanie GET do strony Narzędzia systemowe sieci Wi-Fi. Podatność dotyczy również wersji V11 i V10.
Oryginalny opis (angielski, źródło NVD)
A Null Pointer Dereference vulnerability exists in the referer header check of the web portal of TP-Link TL-WR841N v14, caused by improper input validation. A remote, unauthenticated attacker can exploit this flaw and cause Denial of Service on the web portal service.This issue affects TL-WR841N v14: before 250908.