Código de depuración resurgido revela nuevas vulnerabilidades críticas de acceso root en enrutadores TP-Link

Dos nuevas vulnerabilidades en los enrutadores VPN Omada y Festa de TP-Link han expuesto graves debilidades en la seguridad del firmware de la compañía. Las vulnerabilidades, rastreadas como CVE-2025-7850 y CVE-2025-7851, fueron identificadas por los investigadores de Vedere Labs de Forescout. Estas fallas han sido descritas como parte de un patrón recurrente de parches incompletos y la presencia de código de depuración residual. La vulnerabilidad CVE-2025-7851 surge del código de depuración residual que quedó en el firmware parcheado, mientras que CVE-2025-7850 permite la inyección de comandos a través de la interfaz WireGuard VPN. La explotación de una de estas vulnerabilidades facilita la activación exitosa de la otra. Anteriormente, se conocía el problema CVE-2024-21827, que permitía a los atacantes aprovechar una función de 'código de depuración sobrante' para obtener acceso root en los enrutadores TP-Link.