CVE-2025-14749
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 55 - wyżej niż 55% wszystkich znanych CVE
Streszczenie
W urządzeniu Ningyuanda TC155 w wersji 57.0.2.0 wykryto podatność w nieznanej funkcji pliku /onvif/device_service komponentu ONVIF PTZ Control Interface. Manipulacja prowadzi do nieprawidłowej kontroli dostępu. Atak wymaga obecności w sieci lokalnej, a exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący w sieci lokalnej może uzyskać nieautoryzowany dostęp do funkcji sterowania PTZ kamery. Może to pozwolić na manipulację pozycją kamery i naruszenie bezpieczeństwa monitoringu.
Rekomendacja
Ogranicz dostęp do interfejsu ONVIF wyłącznie do zaufanych sieci i rozważ segmentację VLAN. Skontaktuj się z dostawcą w celu uzyskania poprawki, ponieważ nie odpowiedział on na zgłoszenie.
Inne podatności w Ningyuanda TC155
Zobacz wszystkie- CVE-2025-14748Średnie
Podatność w Ningyuanda TC155 57.0.2.0 dotyczy nieznanej funkcji w pliku /onvif/device_service komponentu ONVIF Device Management Service. Manipulacja argumentem FactoryDefault wartością Hard prowadzi do niewłaściwej kontroli dostępu. Atak wymaga dostępu do sieci lokalnej, a exploit został publicznie ujawniony.
- CVE-2025-14747Średnie
W Ningyuanda TC155 57.0.2.0 wykryto podatność w nieznanej funkcji komponentu RTSP Service. Manipulacja danymi prowadzi do odmowy usługi. Atak musi pochodzić z sieci lokalnej, a exploit został publicznie ujawniony i może być wykorzystany. Producent został powiadomiony, ale nie odpowiedział.
- CVE-2025-14746Średnie
W urządzeniu Ningyuanda TC155 w wersji 57.0.2.0 wykryto podatność w nieznanej funkcji komponentu RTSP Live Video Stream Endpoint. Manipulacja prowadzi do nieprawidłowego uwierzytelniania. Atak musi być przeprowadzony z poziomu sieci lokalnej, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in Ningyuanda TC155 57.0.2.0. This impacts an unknown function of the file /onvif/device_service of the component ONVIF PTZ Control Interface. The manipulation leads to improper access controls. The attack requires being on the local network. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS