CVE-2026-15315
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Kamery Tapo C120 v1 i C200 v5 zawierają podatność niewłaściwego uwierzytelniania w module weryfikacji logowania. Atakujący w sieci lokalnej może wykorzystać słabości w walidacji parametrów wyzwania, aby ominąć normalne mechanizmy uwierzytelniania i uzyskać tokeny sesji administracyjnej. Może to umożliwić wykonywanie uprzywilejowanych działań zarządczych, nieautoryzowany dostęp administracyjny oraz tymczasowe zakłócenie działania urządzenia (DoS).
Ocena ryzyka
Atakujący w sieci lokalnej może przejąć kontrolę administracyjną nad kamerą, co może prowadzić do naruszenia prywatności, nieautoryzowanych zmian konfiguracji i przerw w działaniu monitoringu.
Rekomendacja
Zaktualizuj oprogramowanie układowe kamer Tapo do najnowszej dostępnej wersji, która zawiera poprawki bezpieczeństwa, oraz ogranicz zaufanie do sieci lokalnej.
Inne podatności w Tapo C120/C200
Zobacz wszystkie- CVE-2026-9032Wysokie
Kamery Tapo C120 v1 i C200 v5 mają podatność na dereferencję pustego wskaźnika w parserze żądań połączenia HTTPS onboarding. Interfejs jest osiągalny bez uwierzytelnienia po wstępnej konfiguracji i nie sprawdza obecności pola hasła dla niektórych kombinacji parametrów, co pozwala na crash usługi HTTPS przez złośliwe żądanie z sieci lokalnej.
- CVE-2026-78578Wysokie
Kamery Tapo C120 v1 i C200 v5 nie wymuszają uwierzytelnienia dla akcji połączenia HTTPS onboarding po wstępnej konfiguracji. Nieuwierzytelniony atakujący z sąsiedztwa może przesłać nieautoryzowane parametry konfiguracji bezprzewodowej, co powoduje próbę połączenia kamery z inną siecią.
- CVE-2026-78577Średnie
Kamery Tapo C120 v1 i C200 V5 zawierają podatność w funkcji skanowania HTTPS onboarding z powodu braku uwierzytelnienia. Po wstępnej konfiguracji nieuwierzytelniony atakujący w tej samej sieci lokalnej może wywołać akcję skanowania i pobrać metadane pobliskich punktów dostępowych, w tym SSID, BSSID, tryby uwierzytelniania i szyfrowania oraz informacje o sile sygnału.
Oryginalny opis (angielski, źródło NVD)
Tapo C120 v1 and C200 v5 contain an improper authentication vulnerability within the login authentication verification module. An attacker on the local network can exploit weaknesses in challenge parameter validation to bypass normal authentication controls and obtain administrative session tokens. Successful exploitation may allow an attacker to subsequently execute privileged management actions, enable unauthorized administrative access and temporary disruption of device services, resulting in a denial-of-service (DoS) condition.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS