CVE-2025-15115
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Podatność w platformie Petlibro Smart Pet Feeder do wersji 1.7.31 umożliwia ominięcie uwierzytelniania poprzez wykorzystanie błędów walidacji tokenów OAuth w systemie logowania społecznościowego. Niezautoryzowany atakujący może wysłać żądanie do /member/auth/thirdLogin z dowolnym identyfikatorem Google ID i parametrem phoneBrand, uzyskując pełny token sesji i dostęp do konta bez poprawnej weryfikacji OAuth.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kont użytkowników bez znajomości ich danych logowania, co może prowadzić do nieautoryzowanego dostępu do funkcji karmnika, danych osobowych oraz potencjalnego zdalnego sterowania urządzeniem.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie Petlibro Smart Pet Feeder do wersji nowszej niż 1.7.31, która zawiera poprawkę usuwającą lukę w walidacji tokenów OAuth.
Inne podatności w Petlibro Smart Pet Feeder Platform
Zobacz wszystkie- CVE-2025-3660Średnie
Podatność w Petlibro Smart Pet Feeder Platform do wersji 1.7.31 umożliwia uwierzytelnionym użytkownikom dostęp do danych innych użytkowników poprzez brak weryfikacji własności. Atakujący mogą wysyłać żądania do /member/pet/detailV2 z dowolnymi identyfikatorami zwierząt, uzyskując wrażliwe informacje.
- CVE-2025-3654Średnie
Podatność w platformie Petlibro Smart Pet Feeder do wersji 1.7.31 umożliwia nieautoryzowany dostęp do informacji o urządzeniu poprzez niebezpieczne punkty końcowe API. Atakujący mogą wykorzystać identyfikatory zwierząt domowych, aby pobrać numery seryjne i adresy MAC, co prowadzi do pełnej kontroli nad urządzeniem.
- CVE-2025-3653Wysokie
Podatność w platformie Petlibro Smart Pet Feeder do wersji 1.7.31 umożliwia nieautoryzowaną manipulację urządzeniem poprzez akceptację dowolnych numerów seryjnych bez weryfikacji własności. Atakujący może kontrolować dowolne urządzenie, wysyłając numery seryjne do interfejsów API sterowania urządzeniem.
- CVE-2025-3652Średnie
Podatność w Petlibro Smart Pet Feeder Platform do wersji 1.7.31 umożliwia nieautoryzowany dostęp do prywatnych nagrań audio poprzez wykorzystanie sekwencyjnych identyfikatorów audio i niezabezpieczonych punktów końcowych przypisania. Atakujący może wysyłać żądania do /device/deviceAudio/use z dowolnymi identyfikatorami audio, aby przypisać nagrania do dowolnego urządzenia, a następnie pobrać adresy URL audio w celu uzyskania dostępu do nagrań innych użytkowników.
- CVE-2025-3646Wysokie
Podatność w Petlibro Smart Pet Feeder Platform do wersji 1.7.31 umożliwia ominięcie autoryzacji. Nieautoryzowani użytkownicy mogą dodawać się jako współwłaściciele do dowolnego urządzenia, wykorzystując brak walidacji uprawnień w API udostępniania urządzeń.
Oryginalny opis (angielski, źródło NVD)
Petlibro Smart Pet Feeder Platform versions up to 1.7.31 contains an authentication bypass vulnerability that allows unauthenticated attackers to access any user account by exploiting OAuth token validation flaws in the social login system. Attackers can send requests to /member/auth/thirdLogin with arbitrary Google IDs and phoneBrand parameters to obtain full session tokens and account access without proper OAuth verification.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS