CVE-2025-61740
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Występuje problem z uwierzytelnianiem polegający na braku weryfikacji źródła pakietu. Może to umożliwić atakującemu wywołanie warunku odmowy usługi (DoS) lub modyfikację konfiguracji urządzenia.
Ocena ryzyka
Atakujący może zakłócić dostępność urządzenia lub zmienić jego konfigurację bez poprawnej weryfikacji źródła. Może to prowadzić do przerw w działaniu usług i nieautoryzowanych zmian.
Rekomendacja
Zastosuj dostępne aktualizacje oprogramowania urządzenia zawierające poprawkę weryfikacji źródła pakietów. Ogranicz dostęp sieciowy do urządzenia i monitoruj nieautoryzowane zmiany konfiguracji.
Inne podatności w Device firmware
Zobacz wszystkie- CVE-2026-32645Średnie
Domyślne fabryczne dane uwierzytelniające z uprawnieniami administracyjnymi pozostają aktywne i przetrwają nawet po skonfigurowaniu innych kont administratora.
- CVE-2026-27564Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/datastorage/data, wysyłając żądanie PUT z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27563Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/datastorage/data, wysyłając spreparowane żądanie GET z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27562Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/iodd/config, wysyłając spreparowane żądanie PUT z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27561Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/iodd/config, wysyłając spreparowane żądanie GET z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27560Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/status/data, wysyłając spreparowane żądanie DELETE z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-49008Średnie
Poprzez dostęp do niezaszyfrowanych informacji w oprogramowaniu układowym urządzenia, atakujący może uzyskać poświadczenia związane z weryfikacją integralności określonej funkcji aplikacji na urządzeniu.
- CVE-2026-49007Wysokie
Podatność polegająca na dostępie do niezaszyfrowanych informacji w oprogramowaniu układowym urządzenia, co pozwala atakującemu uzyskać początkowe dane logowania do interfejsu webowego urządzenia.
- CVE-2026-49006Średnie
Poprzez dostęp do niezaszyfrowanych informacji w oprogramowaniu układowym urządzenia, atakujący może uzyskać poświadczenia związane z transmisją TLS.
- CVE-2026-49005Niskie
Hash hasła roota urządzenia można uzyskać poprzez niezaszyfrowane informacje w oprogramowaniu układowym.
Oryginalny opis (angielski, źródło NVD)
Authentication issue that does not verify the source of a packet which could allow an attacker to create a denial-of-service condition or modify the configuration of the device.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS