CVE-2025-15115
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Podatność w platformie Petlibro Smart Pet Feeder do wersji 1.7.31 umożliwia ominięcie uwierzytelniania poprzez wykorzystanie błędów walidacji tokenów OAuth w systemie logowania społecznościowego. Niezautoryzowany atakujący może wysłać żądanie do /member/auth/thirdLogin z dowolnym identyfikatorem Google ID i parametrem phoneBrand, uzyskując pełny token sesji i dostęp do konta bez poprawnej weryfikacji OAuth.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kont użytkowników bez znajomości ich danych logowania, co może prowadzić do nieautoryzowanego dostępu do funkcji karmnika, danych osobowych oraz potencjalnego zdalnego sterowania urządzeniem.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie Petlibro Smart Pet Feeder do wersji nowszej niż 1.7.31, która zawiera poprawkę usuwającą lukę w walidacji tokenów OAuth.
Oryginalny opis (angielski, źródło NVD)
Petlibro Smart Pet Feeder Platform versions up to 1.7.31 contains an authentication bypass vulnerability that allows unauthenticated attackers to access any user account by exploiting OAuth token validation flaws in the social login system. Attackers can send requests to /member/auth/thirdLogin with arbitrary Google IDs and phoneBrand parameters to obtain full session tokens and account access without proper OAuth verification.