CVE-2025-11500

Wysokie

Opublikowano: 16/03/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Urządzenia Tinycontrol, takie jak tcPDU oraz kontrolery LAN LK3.5, LK3.9 i LK4, mają dwa oddzielne mechanizmy uwierzytelniania. Gdy jeden z nich jest wyłączony (co jest ustawieniem domyślnym), nieautoryzowany atakujący w lokalnej sieci może uzyskać nazwy użytkowników i zakodowane hasła do portalu zarządzania interfejsem.

Ocena ryzyka

Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do danych uwierzytelniających, co może prowadzić do dalszych ataków na systemy i zasoby serwera.

Rekomendacja

Zaleca się aktualizację oprogramowania układowego do najnowszych wersji, aby włączyć odpowiednie mechanizmy uwierzytelniania i zabezpieczyć dane użytkowników.

Inne podatności w Tinycontrol tcPDU, LAN Controllers LK3.5, LK3.9, LK4

CVE-2025-15587Wysokie
Urządzenia Tinycontrol, takie jak tcPDU oraz kontrolery LAN LK3.5, LK3.9 i LK4, pozwalają użytkownikowi o niskich uprawnieniach na odczytanie hasła administratora poprzez bezpośredni dostęp do określonego zasobu, który jest niedostępny za pośrednictwem interfejsu graficznego.

Oryginalny opis (angielski, źródło NVD)

Tinycontrol devices such as tcPDU and LAN Controllers LK3.5, LK3.9 and LK4 have two separate authentication mechanisms - one solely for interface management and one for protecting all other server resources. When the latter is turned off (which is a default setting), an unauthenticated attacker on the local network can obtain usernames and encoded passwords for interface management portal by inspecting the HTTP response of the server when visiting the login page, which contains a JSON file with these details. Both normal and admin users credentials are exposed. This issue has been fixed in firmware versions: 1.36 (for tcPDU), 1.67 (for LK3.5 - hardware versions: 3.5, 3.6, 3.7 and 3.8), 1.75 (for LK3.9 - hardware version 3.9) and 1.38 (for LK4 - hardware version 4.0).