Descripción
TP-link TL-WA855RE contiene una vulnerabilidad de falta de autenticación en una función crítica. Esta vulnerabilidad podría permitir que un atacante no autenticado (en la misma red) envíe una solicitud POST TDDP_RESET para un restablecimiento de fábrica y reinicio. Luego, el atacante puede obtener un control de acceso incorrecto estableciendo una nueva contraseña de administrador. Los productos afectados podrían haber alcanzado el fin de vida útil (EoL) y/o el fin de servicio (EoS). Los usuarios deben discontinuar el uso del producto.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de tp-link.com tp-link.com/us/home-networking/range-extender/tl-wa855re/
- Aviso de tp-link.com tp-link.com/us/support/download/tl-wa855re/
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2020-24363
Ver el texto original en inglés (CISA)
TP-link TL-WA855RE Missing Authentication for Critical Function Vulnerability
TP-link TL-WA855RE contains a missing authentication for critical function vulnerability. This vulnerability could allow an unauthenticated attacker (on the same network) to submit a TDDP_RESET POST request for a factory reset and reboot. The attacker can then obtain incorrect access control by setting a new administrative password. The impacted products could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://www.tp-link.com/us/home-networking/range-extender/tl-wa855re/#overview ; https://www.tp-link.com/us/support/download/tl-wa855re/#FAQs ; https://nvd.nist.gov/vuln/detail/CVE-2020-24363
Otras vulnerabilidades de TP-Link en el catálogo
- CVE-2025-9377 Vulnerabilidad de inyección de comandos del sistema operativo en TP-Link Archer C7(EU) y TL-WR841N/ND(MS) Alta 03-09-2025
- CVE-2023-50224 Vulnerabilidad de omisión de autenticación mediante suplantación (spoofing) en TP-Link TL-WR841N Alta 03-09-2025
- CVE-2023-33538 Vulnerabilidad de inyección de comandos en varios routers TP-Link Alta 16-06-2025
- CVE-2023-1389 TP-Link Archer AX-21 Command Injection Vulnerability Alta 01-05-2023
- CVE-2015-3035 TP-Link Multiple Archer Devices Directory Traversal Vulnerability Alta 25-03-2022