Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-13470

Опубликовано: 20 июл. 2026
Источник: fstec
CVSS3: 9.6
CVSS2: 8.3
EPSS Низкий

Описание

Уязвимость модуля mesh микропрограммного обеспечения Mesh-систем TP-Link Deco XE75, XE5300 и WE10800 связана с использованием жестко закодированного криптографического ключа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие механизмы безопасности и выполнить произвольный код

Вендор

TP-Link Technologies Co Ltd.

Наименование ПО

TP-Link Deco XE75
TP-Link Deco XE5300
TP-Link Deco WE10800

Версия ПО

до 1.5.0 Build 20260603 (TP-Link Deco XE75)
до 1.5.0 Build 20260603 (TP-Link Deco XE5300)
до 1.5.0 Build 20260603 (TP-Link Deco WE10800)

Тип ПО

Микропрограммный код

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,3)
Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,6)
Высокий уровень опасности (оценка CVSS 4.0 составляет 7,7)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:
https://www.tp-link.com/en/support/download/deco-xe75/v3.60/#Firmware
https://www.tp-link.com/us/support/download/deco-we10800/#Firmware
https://www.tp-link.com/us/support/download/deco-xe5300/#Firmware

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 18%
0.00261
Низкий

9.6 Critical

CVSS3

8.3 High

CVSS2

Связанные уязвимости

nvd
26 дней назад

The use of hard-coded cryptographic key vulnerability has been identified in the mesh functionality of Deco XE75 v3, XE5300 v3.6 and WE10800 v3.6.  A shared RSA-512 mesh group private key is present in the affected firmware and is used by the mesh protocol for node authentication.  An attacker who obtains the firmware image and has local network access may be able to authenticate as a mesh node without possessing a device-specific credential. Successful exploitation may allow an unauthenticated adjacent attacker to impersonate a trusted mesh node and bypass mesh node authentication, which may permit unauthorized changes to device or mesh configuration, affecting confidentiality, integrity and availability.

github
26 дней назад

The use of hard-coded cryptographic key vulnerability has been identified in the mesh functionality of Deco XE75 v3, XE5300 v3.6 and WE10800 v3.6.  A shared RSA-512 mesh group private key is present in the affected firmware and is used by the mesh protocol for node authentication.  An attacker who obtains the firmware image and has local network access may be able to authenticate as a mesh node without possessing a device-specific credential. Successful exploitation may allow an unauthenticated adjacent attacker to impersonate a trusted mesh node and bypass mesh node authentication, which may permit unauthorized changes to device or mesh configuration, affecting confidentiality, integrity and availability.

EPSS

Процентиль: 18%
0.00261
Низкий

9.6 Critical

CVSS3

8.3 High

CVSS2