CVE-2023-54327

KrytyczneCVSS 9.8

Opublikowano: 30/12/2025(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 25/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.71%

Percentyl 51 - wyżej niż 51% wszystkich znanych CVE

Streszczenie

Tinycontrol LAN Controller 1.58a zawiera podatność polegającą na obejściu uwierzytelniania, która pozwala nieuwierzytelnionym atakującym zmieniać hasła administratora poprzez specjalnie spreparowane żądanie API. Atakujący może wykorzystać endpoint /stm.cgi z odpowiednio zmodyfikowanym parametrem uwierzytelniania, aby wyłączyć kontrolę dostępu i zmodyfikować dane logowania administratora.

Ocena ryzyka

Nieuwierzytelniony atakujący może przejąć kontrolę administracyjną nad urządzeniem, zmieniając hasła administratora i wyłączając mechanizmy kontroli dostępu.

Rekomendacja

Zaktualizuj oprogramowanie urządzenia do wersji zawierającej poprawkę lub, jeśli nie jest dostępna, odizoluj urządzenie od sieci publicznych i ogranicz dostęp do interfejsu zarządzania.

Inne podatności w Tinycontrol LAN Controller

CVE-2023-53739Krytyczne
Tinycontrol LAN Controller v3 LK3 w wersji 1.58a zawiera podatność bez uwierzytelniania, która pozwala zdalnym atakującym na pobranie plików kopii zapasowej konfiguracji zawierających wrażliwe poświadczenia. Atakujący mogą pobrać plik lk3_settings.bin i wyodrębnić zakodowane w base64 hasła użytkownika i administratora bez uwierzytelniania.

Oryginalny opis (angielski, źródło NVD)

Tinycontrol LAN Controller 1.58a contains an authentication bypass vulnerability that allows unauthenticated attackers to change admin passwords through a crafted API request. Attackers can exploit the /stm.cgi endpoint with a specially crafted authentication parameter to disable access controls and modify administrative credentials.