JVNDB-2026-007662

TP-LINK TechnologiesのOC200 Firmware等の複数製品におけるクロスサイトスクリプティングの脆弱性

Omadaコントローラーのパラメータに不適切な入力検証が原因で、クロスサイトスクリプティング（XSS）脆弱性が特定されました。悪用にはネットワークの位置付けや信頼されたエンティティのエミュレーションなど高度な条件が必要であり、認証済み管理者がユーザー操作を行う必要があります。成功した場合、攻撃者は管理者のブラウザで任意のJavaScriptを実行でき、機密情報を漏洩させるか機密性を侵害します。

TP-LINK Technologies

• Omada Controller 6.0.0.100 未満
• Omada Controller 6.0.0.24 未満
• Omada Controller 6.0.0.34 未満
• OC200 Firmware 1.37.9 未満
• OC200 Firmware 2.22.9 未満
• OC220 Firmware 1.2.9 未満
• OC300 Firmware 1.31.9 未満
• OC400 Firmware 1.9.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

TP-LINK Technologies

• Omada : Security Advisory on Cross-Site Scripting Vulnerability on Omada Controllers (CVE-2025-9289), and Authentication Weakness on Omada Controllers, Gateways and Access Points (CVE-2025-9290) | Omada Network Support

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2025-9289

1. National Vulnerability Database (NVD) : CVE-2025-9289
2. 関連文書 : Firmware Download | Omada Network Support

• [2026年03月18日]
    掲載