CVE-2025-3654
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność w platformie Petlibro Smart Pet Feeder do wersji 1.7.31 umożliwia nieautoryzowany dostęp do informacji o urządzeniu poprzez niebezpieczne punkty końcowe API. Atakujący mogą wykorzystać identyfikatory zwierząt domowych, aby pobrać numery seryjne i adresy MAC, co prowadzi do pełnej kontroli nad urządzeniem.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kontroli nad karmnikiem dla zwierząt przez nieautoryzowanego atakującego, co może skutkować naruszeniem prywatności użytkownika oraz nieprawidłowym działaniem urządzenia.
Rekomendacja
Zaleca się natychmiastową aktualizację platformy Petlibro Smart Pet Feeder do najnowszej wersji oraz wdrożenie mechanizmów autoryzacji dla wszystkich punktów końcowych API.
Inne podatności w Petlibro Smart Pet Feeder Platform
Zobacz wszystkie- CVE-2025-3660Średnie
Podatność w Petlibro Smart Pet Feeder Platform do wersji 1.7.31 umożliwia uwierzytelnionym użytkownikom dostęp do danych innych użytkowników poprzez brak weryfikacji własności. Atakujący mogą wysyłać żądania do /member/pet/detailV2 z dowolnymi identyfikatorami zwierząt, uzyskując wrażliwe informacje.
- CVE-2025-3653Wysokie
Podatność w platformie Petlibro Smart Pet Feeder do wersji 1.7.31 umożliwia nieautoryzowaną manipulację urządzeniem poprzez akceptację dowolnych numerów seryjnych bez weryfikacji własności. Atakujący może kontrolować dowolne urządzenie, wysyłając numery seryjne do interfejsów API sterowania urządzeniem.
- CVE-2025-3652Średnie
Podatność w Petlibro Smart Pet Feeder Platform do wersji 1.7.31 umożliwia nieautoryzowany dostęp do prywatnych nagrań audio poprzez wykorzystanie sekwencyjnych identyfikatorów audio i niezabezpieczonych punktów końcowych przypisania. Atakujący może wysyłać żądania do /device/deviceAudio/use z dowolnymi identyfikatorami audio, aby przypisać nagrania do dowolnego urządzenia, a następnie pobrać adresy URL audio w celu uzyskania dostępu do nagrań innych użytkowników.
- CVE-2025-3646Wysokie
Podatność w Petlibro Smart Pet Feeder Platform do wersji 1.7.31 umożliwia ominięcie autoryzacji. Nieautoryzowani użytkownicy mogą dodawać się jako współwłaściciele do dowolnego urządzenia, wykorzystując brak walidacji uprawnień w API udostępniania urządzeń.
- CVE-2025-15115Średnie
Podatność w platformie Petlibro Smart Pet Feeder do wersji 1.7.31 umożliwia ominięcie uwierzytelniania poprzez wykorzystanie błędów walidacji tokenów OAuth w systemie logowania społecznościowego. Niezautoryzowany atakujący może wysłać żądanie do /member/auth/thirdLogin z dowolnym identyfikatorem Google ID i parametrem phoneBrand, uzyskując pełny token sesji i dostęp do konta bez poprawnej weryfikacji OAuth.
Oryginalny opis (angielski, źródło NVD)
Petlibro Smart Pet Feeder Platform versions up to 1.7.31 contains an information disclosure vulnerability that allows unauthorized access to device hardware information by exploiting insecure API endpoints. Attackers can retrieve device serial numbers and MAC addresses through /device/devicePetRelation/getBoundDevices using pet IDs, enabling full device control without proper authorization checks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS