Aviso de segurança: Múltiplas vulnerabilidades nos controladores Omada (CVE-2025-9520, CVE-2025-9521, CVE-2025-9522)
01-26-2026Descrição da vulnerabilidade:
Diversas vulnerabilidades nos controladores Omada são listadas abaixo.
- CVE-2025-9520: Existe uma vulnerabilidade IDOR que permite que um atacante com permissão de Administrador manipule solicitações e potencialmente sequestre a conta do Proprietário.
- CVE-2025-9521: Vulnerabilidade de bypass de confirmação de senha, permitindo que um atacante com um token de sessão válido ignore a verificação secundária.
- CVE-2025-9522: Vulnerabilidade de falsificação de requisição do lado do servidor (SSRF) por meio da funcionalidade webhook, permitindo requisições maliciosas a serviços internos.
Impactos:
CVE-2025-9520:
Assunção total da conta do proprietário, concedendo controle administrativo completo sobre o Omada Controller e os serviços conectados.
Pontuação CVSS v4.0: 8,3 / Alta
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:H/VA:N/SC:L/SI:H/SA:L
CVE-2025-9521:
Um atacante com um token de sessão válido pode conseguir contornar a verificação secundária e alterar a senha do usuário sem a devida confirmação, o que leva a uma segurança da conta comprometida.
Pontuação CVSS v4.0: 2,1 / Baixa
CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
CVE-2025-9522:
Isso pode permitir a enumeração de informações.
Pontuação CVSS v4.0: 5,1 / Média
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Produtos Afetados / Versões e Correções:
|
Modelo de Produto Afetado |
Vulnerabilidades Relacionadas |
Versão Afetada |
Versão Corrigida |
|
Controladores Omada |
CVE-2025-9520 |
< 6.0 |
>= 6.0 |
Recomendação(ões):
Recomendamos que os usuários com os dispositivos afetados tomem as seguintes providências:
- Baixe e atualize para a versão mais recente do software para corrigir as vulnerabilidades.
US: Firmware Download | Omada Network Support
EN: Firmware Download | Omada Network Support
Isenção de responsabilidade:
Caso você não tome todas as medidas recomendadas, essa vulnerabilidade persistirá. A TP-Link não se responsabiliza por quaisquer consequências que poderiam ter sido evitadas caso este aviso tivesse sido seguido.
