CVE-2026-13753
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W oprogramowaniu wbudowanego serwera WWW drukarek HP Deskjet 2800 Series w wersji TBP1CN2612AR i wcześniejszych brakuje autoryzacji dla wielu punktów końcowych API administracyjnego. Nieuwierzytelniony atakujący z dostępem sieciowym może wysłać żądania GET i pobrać wrażliwe dane konfiguracyjne, w tym hasła Wi‑Fi Direct w postaci jawnego tekstu oraz unikalne identyfikatory urządzenia.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych danych sieciowych i identyfikacyjnych drukarki, co może umożliwić nieautoryzowany dostęp do sieci Wi‑Fi oraz kradzież tożsamości urządzenia. Atak nie wymaga uwierzytelnienia, co zwiększa ryzyko eksploatacji przez zewnętrznych napastników.
Rekomendacja
Należy niezwłocznie zaktualizować oprogramowanie sprzętowe (firmware) drukarek HP Deskjet 2800 Series do wersji nowszej niż TBP1CN2612AR. Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do interfejsu zarządzania drukarek wyłącznie do zaufanych hostów.
Oryginalny opis (angielski, źródło NVD)
A missing authorization vulnerability exists in the embedded webserver of HP Deskjet 2800 Series Printers running firmware version <=TBP1CN2612AR. An unauthenticated attacker with network access can send GET requests to multiple exposed administrative API endpoints and retrieve sensitive configuration data such as plaintext Wi‑Fi Direct credentials, unique device identity information, and other administrative security state details. When accessed through the web interface, these setting pages explicitly require administrator credentials before sensitive information is displayed.