CVE-2025-41733
KrytyczneStreszczenie
Kreator konfiguracji na dotkniętych urządzeniach nie sprawdza, czy urządzenie jest już zainicjalizowane. Nieuwierzytelniony zdalny atakujący może skonstruować żądania POST w celu ustawienia poświadczeń roota.
Ocena ryzyka
Atakujący może uzyskać uprawnienia administratora (root) na urządzeniu, co prowadzi do pełnej kompromitacji urządzenia.
Rekomendacja
Zaleca się natychmiastowe ograniczenie dostępu do kreatora konfiguracji, zastosowanie poprawek oraz wdrożenie mechanizmów uwierzytelniania przed inicjalizacją.
Inne podatności w Unknown Device
Zobacz wszystkie- CVE-2025-41732Krytyczne
Nieuwierzytelniony zdalny atakujący może wykorzystać niebezpieczne wywołania sscanf w funkcji check_cookie() do zapisu dowolnych danych do buforów o stałym rozmiarze na stosie, co prowadzi do pełnego przejęcia urządzenia.
- CVE-2025-41730Krytyczne
Nieuwierzytelniony zdalny atakujący może wykorzystać niebezpieczne wywołania sscanf w funkcji check_account() do zapisu dowolnych danych do buforów o stałym rozmiarze na stosie, co prowadzi do pełnego przejęcia urządzenia.
- CVE-2025-41734Krytyczne
Nieuwierzytelniony zdalny atakujący może wykonywać dowolne pliki PHP i uzyskać pełny dostęp do dotkniętych urządzeń.
- CVE-2026-32646Wysokie
Określony endpoint administracyjny jest dostępny bez odpowiedniego uwierzytelnienia, co ujawnia funkcje zarządzania urządzeniem. Brak kontroli dostępu umożliwia nieautoryzowanym użytkownikom dostęp do wrażliwych operacji.
Oryginalny opis (angielski, źródło NVD)
The commissioning wizard on the affected devices does not validate if the device is already initialized. An unauthenticated remote attacker can construct POST requests to set root credentials.