CVE-2026-121022
WysokieCVSS 8.1Streszczenie
W kliencie webowym AxxonSoft Axxon One przed wersją 3.0.0 występuje użycie domyślnego hasła (CWE-1393). Ponieważ klient webowy nie wymuszał obowiązkowej zmiany hasła przy pierwszym logowaniu, zdalny nieuwierzytelniony atakujący może zalogować się jako wbudowany administrator na nowo zainstalowanym systemie przy użyciu domyślnych poświadczeń.
Ocena ryzyka
Atakujący może uzyskać pełny dostęp administracyjny do systemu monitoringu bez żadnych poświadczeń, co grozi przejęciem kontroli nad kamerami i danymi. Ryzyko jest szczególnie wysokie dla systemów świeżo wdrożonych i wystawionych do sieci.
Rekomendacja
Zaktualizuj Axxon One do wersji 3.0.0 lub nowszej oraz natychmiast zmień domyślne hasło administratora na wszystkich istniejących instalacjach. Ogranicz dostęp do klienta webowego z sieci zewnętrznych.
Inne podatności w Axxon One
Zobacz wszystkie- CVE-2026-121021Średnie
Wspólna konfiguracja SecurityManager w AxxonSoft Axxon One przed wersją 3.1.0 przechowuje hasło w postaci jawnej (CWE-256). Lokalny atakujący z dostępem do katalogu konfiguracji lub kopii zapasowych może odczytać hasło konta usługi LDAP z pliku main.conf.
- CVE-2026-121020Średnie
W interfejsie API konfiguracji bezpieczeństwa AxxonSoft Axxon One przed wersją 3.2.0 występuje ujawnienie poufnych informacji nieuprawnionemu podmiotowi (CWE-200). Zdalny uwierzytelniony użytkownik z ograniczonymi uprawnieniami może wyliczyć wszystkie konta i role w systemie, ponieważ żądanie konfiguracji użytkowników zwracało pełne listy niezależnie od uprawnień wywołującego.
- CVE-2025-10223Średnie
W panelu administracyjnym Web Admin Panel w AxxonSoft Axxon One (C-Werk) przed wersją 2.0.3 na Windows występuje niewystarczające wygasanie sesji. Uwierzytelniony atakujący (lokalnie lub zdalnie) może zachować dostęp po odebraniu uprawnień, używając niewygasłego tokena sesji aż do naturalnego wygaśnięcia.
Oryginalny opis (angielski, źródło NVD)
Use of Default Password (CWE-1393) in the web client in AxxonSoft Axxon One before 3.0.0 on Windows and Linux allows a remote unauthenticated attacker to log in as the built-in administrator with the default credentials on a newly installed system, because the web client did not enforce the mandatory change of the default password on first login.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS