CVE-2026-22109
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Dostarczona baza szablonów WebUI przechowuje fabryczne hasła domyślne dla wszystkich pięciu typów kont w postaci jawnej. Wartości domyślne są identyczne na różnych urządzeniach i nie zostały zmienione na testowanej jednostce.
Ocena ryzyka
Znane i niezmienione hasła domyślne umożliwiają atakującemu łatwe zalogowanie się do interfejsu WebUI i przejęcie kontroli nad urządzeniem.
Rekomendacja
Natychmiast zmień wszystkie domyślne hasła kont w WebUI i wdróż aktualizację producenta eliminującą przechowywanie haseł w postaci jawnej.
Inne podatności w WebUI
Zobacz wszystkie- CVE-2016-8494Wysokie
Niewystarczająca weryfikacja przesyłanych plików umożliwia atakującym z uprawnieniami administratora webui wykonanie dowolnego kodu poprzez przesłanie nowego motywu webui.
- CVE-2026-22110Wysokie
Serwer webowy nie sprawdza uwierzytelnienia przy żądaniach POST i PUT. Nieuwierzytelniony atakujący może zrestartować ładowarkę, a poprzez brute-force pola configid może także ustawić hasło serwisowe i następnie zmienić dowolne ustawienia.
- CVE-2025-41692Średnie
Wysoko uprzywilejowany zdalny atakujący z uprawnieniami administratora w interfejsie webUI może przeprowadzić atak brute-force na hasła "root" i "user" systemu operacyjnego z powodu słabego algorytmu generowania haseł.
Oryginalny opis (angielski, źródło NVD)
The shipped WebUI template database retains the factory default passwords for all five account types in cleartext. Defaults are identical across devices and were unchanged on the tested unit.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS