CVE-2025-3653
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność w platformie Petlibro Smart Pet Feeder do wersji 1.7.31 umożliwia nieautoryzowaną manipulację urządzeniem poprzez akceptację dowolnych numerów seryjnych bez weryfikacji własności. Atakujący może kontrolować dowolne urządzenie, wysyłając numery seryjne do interfejsów API sterowania urządzeniem.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowaną zmianę harmonogramów karmienia, ręczne podawanie karmy, dostęp do podglądu z kamery oraz modyfikację ustawień urządzenia, co może prowadzić do naruszenia bezpieczeństwa fizycznego i prywatności zwierząt domowych.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie sprzętowe urządzenia do najnowszej wersji oraz wdrożyć mechanizmy uwierzytelniania i autoryzacji dla wszystkich interfejsów API sterowania urządzeniem.
Inne podatności w Petlibro Smart Pet Feeder Platform
Zobacz wszystkie- CVE-2025-3660Średnie
Podatność w Petlibro Smart Pet Feeder Platform do wersji 1.7.31 umożliwia uwierzytelnionym użytkownikom dostęp do danych innych użytkowników poprzez brak weryfikacji własności. Atakujący mogą wysyłać żądania do /member/pet/detailV2 z dowolnymi identyfikatorami zwierząt, uzyskując wrażliwe informacje.
- CVE-2025-3654Średnie
Podatność w platformie Petlibro Smart Pet Feeder do wersji 1.7.31 umożliwia nieautoryzowany dostęp do informacji o urządzeniu poprzez niebezpieczne punkty końcowe API. Atakujący mogą wykorzystać identyfikatory zwierząt domowych, aby pobrać numery seryjne i adresy MAC, co prowadzi do pełnej kontroli nad urządzeniem.
- CVE-2025-3652Średnie
Podatność w Petlibro Smart Pet Feeder Platform do wersji 1.7.31 umożliwia nieautoryzowany dostęp do prywatnych nagrań audio poprzez wykorzystanie sekwencyjnych identyfikatorów audio i niezabezpieczonych punktów końcowych przypisania. Atakujący może wysyłać żądania do /device/deviceAudio/use z dowolnymi identyfikatorami audio, aby przypisać nagrania do dowolnego urządzenia, a następnie pobrać adresy URL audio w celu uzyskania dostępu do nagrań innych użytkowników.
- CVE-2025-3646Wysokie
Podatność w Petlibro Smart Pet Feeder Platform do wersji 1.7.31 umożliwia ominięcie autoryzacji. Nieautoryzowani użytkownicy mogą dodawać się jako współwłaściciele do dowolnego urządzenia, wykorzystując brak walidacji uprawnień w API udostępniania urządzeń.
- CVE-2025-15115Średnie
Podatność w platformie Petlibro Smart Pet Feeder do wersji 1.7.31 umożliwia ominięcie uwierzytelniania poprzez wykorzystanie błędów walidacji tokenów OAuth w systemie logowania społecznościowego. Niezautoryzowany atakujący może wysłać żądanie do /member/auth/thirdLogin z dowolnym identyfikatorem Google ID i parametrem phoneBrand, uzyskując pełny token sesji i dostęp do konta bez poprawnej weryfikacji OAuth.
Oryginalny opis (angielski, źródło NVD)
Petlibro Smart Pet Feeder Platform versions up to 1.7.31 contains an improper access control vulnerability that allows unauthorized device manipulation by accepting arbitrary serial numbers without ownership verification. Attackers can control any device by sending serial numbers to device control APIs to change feeding schedules, trigger manual feeds, access camera feeds, and modify device settings without authorization checks.