CVE-2026-110124

WysokieCVSS 8.1

Opublikowano: 13/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

FastBee do wersji 2.1.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu w DeviceController, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na odczyt i modyfikację urządzeń innych dzierżawców poprzez podanie sekwencyjnych identyfikatorów urządzeń.

Ocena ryzyka

Ryzyko obejmuje nieautoryzowany dostęp do danych urządzeń (właściciel, IP, lokalizacja) oraz możliwość przejęcia urządzeń przez nadpisanie user_id i tenant_id, co może prowadzić do naruszenia integralności i poufności.

Rekomendacja

Zaleca się aktualizację FastBee do wersji zawierającej poprawkę oraz wdrożenie kontroli dostępu opartej na autoryzacji dla operacji na urządzeniach.

Inne podatności w FastBee

CVE-2026-111654Średnie
FastBee do wersji 2.1.0 zawiera podatność typu insecure direct object reference (IDOR), która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na dostęp do grup urządzeń innych użytkowników, ponieważ zapytania GroupController nie zawierają kontroli właściciela. Atakujący, w tym samodzielnie zarejestrowani użytkownicy, mogą podawać sekwencyjne identyfikatory grup, aby odczytywać, nadpisywać, przypisywać ponownie, przepisywać powiązania urządzeń lub usuwać grupy innych użytkowników.

Oryginalny opis (angielski, źródło NVD)

FastBee through 2.1.0 contains an insecure direct object reference vulnerability in DeviceController that allows authenticated low-privilege users to read and modify other tenants' devices by supplying sequential device IDs. Self-registered attackers can enumerate deviceId or serialNumber values to read owner, IP, and location data, and overwrite user_id and tenant_id to take over devices.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS