BDU:2025-04721

Опубликовано: 20 мар. 2025

Источник: fstec

CVSS3: 8.8

CVSS2: 8.3

EPSS Низкий

Описание

Уязвимость функции doUpate веб-интерфейса микропрограммного обеспечения маршрутизатора TP-Link TL-WR841N связана с недостатками фильтрации параметра upnpTbl при обращении к веб-странице UPnP.html. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, внедрить произвольный JavaScript-код путем отправки специально сформированного GET-запроса

Вендор

TP-Link Technologies Co Ltd.

Наименование ПО

TL-WR841N

Версия ПО

до 14 build 250328 (TL-WR841N)

до 14.8 build 250328 (TL-WR841N)

Тип ПО

ПО сетевого программно-аппаратного средства

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,3)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Высокий уровень опасности (оценка CVSS 4.0 составляет 8,6)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование межсетевого экрана уровня приложений (WAF) для фильтрации сетевого трафика;

- использование «белого» списка IP-адресов для ограничения доступа к веб-интерфейсу управления уязвимого устройства;

- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;

- использование виртуальных частных сетей для организации удаленного доступа (VPN);

- ограничение доступа к устройству из внешних сетей (Интернет).

Использование рекомендаций:

https://www.tp-link.com/us/support/download/tl-wr841n/#Firmware

https://www.tp-link.com/en/support/download/tl-wr841n/#Firmware

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-25427
CVE

EPSS

Процентиль: 34%

0.00138

Низкий

8.8 High

CVSS3

8.3 High

CVSS2

Связанные уязвимости

CVE-2025-25427

CVSS3: 5.4

nvd

10 месяцев назад

A stored cross-site scripting (XSS) vulnerability in the upnp.htm page of the web Interface in TP-Link WR841N v14/v14.6/v14.8 <= Build 241230 Rel. 50788n allows remote attackers to inject arbitrary JavaScript code via the port mapping description. This leads to an execution of the JavaScript payload when the upnp page is loaded.

GHSA-fgvj-q3hx-cpwr