Рекомендации по безопасности: внедрение внешнего объекта XML контроллера Omada (XXE) в анализ метаданных SAML IdP, приводящее к произвольному чтению локального файла (CVE-2026-84941)

Описание уязвимости и её воздействия:

CVE-2026-84941: Внедрение XML External Entity (XXE) в Omada Controller при разборе метаданных SAML IdP, приводящее к произвольному чтению локальных файлов

Уязвимость раскрытия информации в функциональности SAML Single Sign-On (SSO) Omada Controller позволяет аутентифицированному пользователю с правами настройки SAML получить доступ к конфиденциальной информации из-за недостаточной проверки предоставляемых пользователем метаданных SAML.

Успешная эксплуатация может привести к несанкционированному раскрытию конфиденциальной информации.

Оценка CVSS v4.0: 6.9 / Medium

CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Затронутые продукты/версии и исправления:

Рекомендации:

Мы настоятельно рекомендуем пользователям затронутых устройств предпринять следующие действия:

1. Обновите затронутые устройства до последней версии прошивки, в которой исправлена уязвимость:

EN: Download Center | TP-Link

Download Omada Software Controller | Omada Network Support

US: Download Center | TP-Link

Download Omada Software Controller | Omada Network Support

Отказ от ответственности:

Это уведомление предоставлено исключительно в информационных целях и может быть изменено без предварительного уведомления. Информация предоставляется «как есть» без каких-либо гарантий. TP-Link рекомендует клиентам незамедлительно применять доступные обновления прошивки или использовать документированные обходные решения, приведённые в этом уведомлении. Устройства/системы, которые не обновлены или не защищены описанным образом, могут оставаться уязвимыми, и TP-Link отказывается от любой ответственности за любые убытки или потери, возникающие в результате невыполнения таких обновлений.