CVE-2025-36754
KrytyczneStreszczenie
Mechanizm uwierzytelniania w interfejsie webowym nie jest poprawnie zaimplementowany. Możliwe jest ominięcie kontroli uwierzytelniania poprzez wysłanie żądania POST z nowymi ustawieniami, ponieważ nie ma tokena sesji ani uwierzytelniania. Pozwala to atakującemu na przykład na skierowanie urządzenia na dowolny adres do rozwiązywania nazw domen, co może ułatwić atak typu man-in-the-middle (MitM).
Ocena ryzyka
Atakujący może przejąć kontrolę nad konfiguracją urządzenia, co może prowadzić do przechwycenia ruchu sieciowego lub przekierowania na złośliwe serwery.
Rekomendacja
Zaimplementuj prawidłowe uwierzytelnianie i mechanizmy sesji w interfejsie webowym. Ogranicz dostęp do interfejsu tylko do zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
The authentication mechanism on web interface is not properly implemented. It is possible to bypass authentication checks by crafting a post request with new settings since there is no session token or authentication in place. This would allow an attacker for instance to point the device to an arbitrary address for domain name resolution to e.g. facililitate a man-in-the-middle (MitM) attack.