CVE-2026-104075

KrytyczneCVSS 9.8

Opublikowano: 08/10/2026(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Streszczenie

Urządzenia TVU Networks Receiver/Transceiver z oprogramowaniem sprzętowym przed wersją 7.9 mają podatność na obejście uwierzytelniania w punkcie logowania POST /tvu/Login. Wysłanie żądania z pustym lub nieobecnym parametrem UserName pozwala uzyskać ważną sesję administracyjną bez znajomości hasła, omijając walidację po stronie klienta.

Ocena ryzyka

Atakujący może uzyskać pełną kontrolę administracyjną nad interfejsem zarządzania urządzeniem, co umożliwia zmianę konfiguracji, kradzież danych lub dalsze ataki na sieć.

Rekomendacja

Należy natychmiast zaktualizować oprogramowanie sprzętowe do wersji 7.9 lub nowszej oraz wdrożyć dodatkowe mechanizmy uwierzytelniania, takie jak VPN lub ograniczenie dostępu do interfejsu zarządzania.

Inne podatności w TVU Networks Receiver/Transceiver

CVE-2026-104076Krytyczne
Urządzenia TVU Networks Receiver/Transceiver z oprogramowaniem sprzętowym przed wersją 7.9 mają brak uwierzytelniania w niezabezpieczonych punktach końcowych REST API na porcie 8288. Zdalny nieuwierzytelniony atakujący może odczytać wrażliwe informacje o urządzeniu i zmodyfikować jego konfigurację, np. ustawienia DNS, co umożliwia ataki man-in-the-middle na połączenia wychodzące do infrastruktury chmury TVU.

Oryginalny opis (angielski, źródło NVD)

TVU Networks Receiver/Transceiver devices running firmware before version 7.9 contain an authentication bypass vulnerability in the web management login endpoint POST /tvu/Login that allows remote unauthenticated attackers to obtain an administrative session by submitting an empty or absent UserName parameter. Attackers can send a crafted HTTP request directly, bypassing client-side JavaScript validation, to receive a valid session cookie regardless of the password value and gain full administrative control of the device's web management interface.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS