Ce qu’il faut retenir
Une faiblesse a été signalée dans le mode MSP (gestion multi-clients) d'Omada Controller, produit de TP-Link. Un utilisateur déjà connecté pourrait vérifier si des comptes existent et tester la validité de mots de passe appartenant à d'autres comptes, car un contrôle d'autorisation n'est pas appliqué. Cela pourrait conduire à un accès non autorisé à des ressources MSP ou à la compromission de comptes ciblés. La source consultée ne précise ni les versions concernées, ni de correctif, ni d'exploitation connue.
Qui est concerné ?
| Constructeur | TP-Link |
| Versions concernées | Non précisé |
| Source | Fiche officielle NVD |
Les organisations qui utilisent Omada Controller de TP-Link en mode MSP, notamment les prestataires de services gérés qui administrent plusieurs clients. Les versions affectées : Information non précisée dans la source consultée.
Quel est le risque concret ?
Gravité technique : score CVSS de 7.5 (High). Impact métier potentiel : un utilisateur authentifié pourrait identifier des comptes existants, vérifier des mots de passe et, selon les cas, accéder à des ressources MSP ou compromettre des comptes ciblés, ce qui pourrait affecter la confidentialité des données de gestion des clients. L'exposition à Internet et l'exploitation active : Information non précisée dans la source consultée.
Priorité de traitement
Justification : La gravité technique est élevée (CVSS 7.5), mais la source ne précise ni les versions affectées, ni l'existence d'un correctif ou d'un contournement, ni l'exposition à Internet, ni une éventuelle exploitation active. L'exploitation exige par ailleurs un compte authentifié. Ces informations manquantes ne permettent pas de fixer une priorité plus ferme à ce stade.
Que faut-il faire ?
- Consulter l'avis officiel de l'editeur avant toute modification.
Recommandation Chrysalead
Identifier si Omada Controller est utilisé en mode MSP dans votre environnement, puis consulter l'avis du constructeur pour connaître les versions concernées et les correctifs disponibles. En attendant, vérifier la liste des comptes autorisés dans le mode MSP et surveiller les journaux d'authentification pour repérer toute activité inhabituelle.
Détails techniques
| CVE | CVE-2026-102298 |
| Constructeur | TP-Link |
| Score CVSS | 7.5 / High |
| Exploitation connue | Non précisé |
| Extrait de la source (en anglais) | In Omada Controller MSP mode, the user-confirmation endpoint fails to enforce the required permission check. An authenticated user can supply a caller-controlled Identifier parameter to validate credentials for another account and receive responses that distinguish nonexistent users, invalid passwords, and successful authentication. Successful exploitation may allow user enumeration, credential verification, and unauthorized access to MSP resources or compromise of targeted accounts. |
Sources
- Omada Controller
- Logiciel de TP-Link qui permet de gérer de manière centralisée des équipements réseau comme les bornes Wi-Fi, les commutateurs et les routeurs.
- Mode MSP
- Mode prévu pour les prestataires de services gérés (Managed Service Providers), qui administrent le réseau de plusieurs clients depuis une seule console.
- Contrôle de permission
- Vérification que l'utilisateur a bien le droit d'effectuer une action avant de l'autoriser. Ici, cette vérification n'est pas appliquée correctement.
- Énumération d'utilisateurs
- Technique qui consiste à déterminer quels comptes existent sur un système, grâce aux réponses différentes selon que le compte existe ou non.
- Vérification d'identifiants
- Fait de tester si un mot de passe est valide pour un compte donné, ce qui pourrait permettre de prendre le contrôle de ce compte.
- CVSS
- Échelle de 0 à 10 qui mesure la gravité technique d'une vulnérabilité. Elle ne reflète pas à elle seule l'impact réel sur l'activité de l'entreprise.
Analyse rédigée par Chrysalead à partir de l’avis officiel de l’éditeur, avec l’aide d’outils d’IA. Ces informations sont générales : consultez l’avis officiel et adaptez-les à votre environnement avant toute décision.