CVE-2026-26368
HighSummary
Serwer eNet SMART HOME w wersjach 2.2.1 i 2.3.1 zawiera lukę w autoryzacji w metodzie resetUserPassword JSON-RPC, która pozwala każdemu uwierzytelnionemu użytkownikowi o niskich uprawnieniach (UG_USER) zresetować hasło dowolnych kont, w tym kont w grupach UG_ADMIN i UG_SUPER_ADMIN, bez podawania aktualnego hasła. Atakujący może wysłać odpowiednio skonstruowane żądanie JSON-RPC do /jsonrpc/management, co prowadzi do przejęcia konta z pełnym dostępem administracyjnym.
Risk Assessment
Luka ta stwarza poważne ryzyko dla organizacji, umożliwiając atakującym przejęcie kont administracyjnych i eskalację uprawnień, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych i systemów.
Recommendation
Zaleca się natychmiastowe zaktualizowanie serwera eNet SMART HOME do najnowszej wersji, aby usunąć tę lukę oraz wdrożenie dodatkowych środków zabezpieczających, takich jak ograniczenie dostępu do metod JSON-RPC tylko dla użytkowników z odpowiednimi uprawnieniami.
Related vulnerabilities
- CVE-2026-93467Critical
The OAKlouds developed by HGiga has an Insecure Deserialization vulnerability. Unauthenticated remote attackers can execute arbitrary code on the server by sending maliciously crafted serialized content.
- CVE-2026-85878Critical
Improper authorization in Azure Database for PostgreSQL allows an authorized attacker to elevate privileges over a network.
- CVE-2026-69843Critical
Authentication bypass by spoofing in Microsoft Fabric allows an unauthorized attacker to elevate privileges over a network.
- CVE-2026-62874Critical
Insufficient verification of data authenticity in Azure Billing allows an unauthorized attacker to elevate privileges over a network.
- CVE-2026-87886HighActively exploited
The vulnerability is a local privilege escalation due to insecure file permissions. It affects Acronis Backup plugin for cPanel & WHM (Linux) before build 1.9.3.1021, Acronis Backup extension for Plesk (Linux) before build 1.8.11.638, and Acronis Backup plugin for DirectAdmin (Linux) before build 1.2.3.238.
- CVE-2026-87701Critical
Improper neutralization of special elements in output used by a downstream component ('injection') in Azure Cosmos DB allows an authorized attacker to elevate privileges over a network.
- CVE-2026-85889Critical
Missing authentication for a critical function in Azure AI Foundry allows an unauthorized attacker to elevate privileges over a network.
- CVE-2026-85885Critical
Improper neutralization of special elements used in a command ('command injection') in M365 Copilot allows an authorized attacker to elevate privileges over a network.
- CVE-2026-83944Critical
Improper access control in Azure Logic Apps allows an unauthorized attacker to elevate privileges over a network.
- CVE-2026-77903Critical
Authentication bypass by spoofing in Microsoft Dataverse allows an unauthorized attacker to elevate privileges over a network.
Original NVD description (English source)
eNet SMART HOME server 2.2.1 and 2.3.1 contains a missing authorization vulnerability in the resetUserPassword JSON-RPC method that allows any authenticated low-privileged user (UG_USER) to reset the password of arbitrary accounts, including those in the UG_ADMIN and UG_SUPER_ADMIN groups, without supplying the current password or having sufficient privileges. By sending a crafted JSON-RPC request to /jsonrpc/management, an attacker can overwrite existing credentials, resulting in direct account takeover with full administrative access and persistent privilege escalation.