CVE-2026-27556
WysokieCVSS 8.8Streszczenie
Zdalny atakujący z niskimi uprawnieniami może wykorzystać podatność lokalnego dołączania plików (LFI) w punkcie końcowym /index.php/ajax/save_iodd_parameters przy użyciu ważnego ciasteczka operatora, co pozwala na wykonanie dowolnego kodu PHP na urządzeniu.
Ocena ryzyka
Wykonanie dowolnego kodu PHP może prowadzić do pełnej kompromitacji urządzenia, w tym kradzieży danych, modyfikacji systemu lub wykorzystania urządzenia do dalszych ataków.
Rekomendacja
Należy jak najszybciej zastosować poprawki producenta i ograniczyć dostęp do punktu końcowego tylko dla zaufanych operatorów.
Inne podatności w Device
Zobacz wszystkie- CVE-2026-27559Wysokie
Zdalny atakujący z niskimi uprawnieniami może wykorzystać podatność na wstrzykiwanie poleceń w punkcie końcowym /api/status/data, wysyłając spreparowane żądanie GET z danymi uwierzytelniającymi użytkownika, co pozwala na wykonanie poleceń z uprawnieniami roota na urządzeniu.
- CVE-2026-27558Wysokie
Zdalny atakujący z niskimi uprawnieniami może wykorzystać podatność na wstrzykiwanie poleceń w punkcie końcowym /index.php/attached_devices_tab/ajax_remove_uploaded_iodd_files przy użyciu poświadczeń operatora, co pozwala na wykonanie poleceń z uprawnieniami roota na urządzeniu.
- CVE-2026-27557Wysokie
Nieuwierzytelniony zdalny atakujący może wykorzystać podatność typu path traversal w punkcie końcowym /index.php/view_uploaded_iodd_file, co pozwala na odczytanie prywatnych kluczy serwera SSH.
- CVE-2026-27555Wysokie
Zdalny atakujący z niskimi uprawnieniami może wykorzystać podatność lokalnego dołączania plików (LFI) w punkcie końcowym /index.php/ajax/get_iodd_port_info przy użyciu ważnego ciasteczka użytkownika, co pozwala na wykonanie dowolnego kodu PHP na urządzeniu.
- CVE-2026-27554Wysokie
Zdalny atakujący z niskimi uprawnieniami może wykorzystać podatność na wstrzykiwanie poleceń w punkcie końcowym /index.php/ajax/save_iodd_parameters przy użyciu poświadczeń operatora, co pozwala na wykonanie poleceń z uprawnieniami roota na urządzeniu.
- CVE-2026-27552Wysokie
Zdalny atakujący z niskimi uprawnieniami może wykorzystać nieprawidłową autoryzację w punkcie końcowym /index.php/attached_devices_tab/do_upload do przesyłania plików IODD na urządzenie, co może zmienić zachowanie urządzenia lub spowodować awarie systemu.
- CVE-2026-27551Wysokie
Zdalny atakujący z niskimi uprawnieniami może wykorzystać podatność na wstrzykiwanie poleceń w punkcie końcowym /index.php/ajax/parameterManage przy użyciu poświadczeń użytkownika, co pozwala na wykonanie poleceń z uprawnieniami roota na urządzeniu.
- CVE-2026-27550Wysokie
Zdalny atakujący z niskimi uprawnieniami może wykorzystać podatność na wstrzykiwanie poleceń w klasie Field_Shadow_Password przy użyciu poświadczeń operatora, co pozwala na wykonanie poleceń z uprawnieniami roota na urządzeniu.
- CVE-2026-27549Wysokie
Zdalny atakujący z niskimi uprawnieniami może wykorzystać podatność na wstrzykiwanie poleceń w punkcie końcowym /index.php/attached_devices_tab/do_upload przy użyciu poświadczeń operatora, co pozwala na wykonanie poleceń z uprawnieniami roota na urządzeniu.
- CVE-2026-22910Wysokie
Urządzenie jest wdrażane z domyślnymi hasłami, które są słabe i publicznie znane, dla niektórych ukrytych poziomów użytkowników, co zwiększa ryzyko nieautoryzowanego dostępu. Stanowi to wysokie ryzyko dla integralności systemu.
Oryginalny opis (angielski, źródło NVD)
A low-privileged remote attacker can exploit a local file inclusion vulnerability in the /index.php/ajax/save_iodd_parameters endpoint using a valid operator cookie allowing execution of arbitrary PHP code on the device.