CVE-2026-15680

WysokieCVSS 7.5

Opublikowano: 13/07/2026(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 15/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

W kamerze Lorex 2K Indoor Wi-Fi Security Camera wykryto podatność umożliwiającą zdalne wykonanie kodu przez atak z formatowaniem łańcucha. Luka występuje w procesie parsowania żądań JSON w pliku binarnym sonia, gdzie brak walidacji danych wejściowych pozwala na użycie ich jako specyfikatora formatu. Atak nie wymaga uwierzytelnienia i może być przeprowadzony z sąsiedniej sieci.

Ocena ryzyka

Atakujący może przejąć kontrolę nad kamerą z uprawnieniami roota, co umożliwia podsłuchiwanie, modyfikację obrazu lub użycie urządzenia jako punktu wejścia do sieci wewnętrznej.

Rekomendacja

Należy natychmiast zaktualizować oprogramowanie kamery do najnowszej wersji dostępnej u producenta oraz ograniczyć dostęp do urządzenia tylko z zaufanych sieci.

Inne podatności w Lorex 2K Indoor Wi-Fi Security Camera

CVE-2026-15683Wysokie
Podatność w kamerze Lorex 2K Indoor Wi-Fi Security Camera wynika z braku prawidłowej walidacji certyfikatu serwera zarządzania urządzeniem. Umożliwia to atakującemu z tej samej sieci wykonanie dowolnego kodu w kontekście roota bez interakcji użytkownika.

Oryginalny opis (angielski, źródło NVD)

Lorex 2K Indoor Wi-Fi Security Camera CDeviceOperator Format String Remote Code Execution Vulnerability. This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of Lorex 2K Indoor Wi-Fi Security Cameras. Authentication is not required to exploit this vulnerability. The specific flaw exists within the parsing of JSON requests in the sonia binary. The issue results from the lack of proper validation of a user-supplied string before using it as a format specifier. An attacker can leverage this vulnerability to execute code in the context of root. Was ZDI-CAN-25884.