CVE-2026-32645
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Domyślne fabryczne dane uwierzytelniające z uprawnieniami administracyjnymi pozostają aktywne i przetrwają nawet po skonfigurowaniu innych kont administratora.
Ocena ryzyka
Niezmienione domyślne konto administracyjne umożliwia nieautoryzowanym osobom uzyskanie pełnego dostępu do urządzenia, nawet jeśli utworzono inne konta administratorów.
Rekomendacja
Wyłącz lub usuń domyślne konto fabryczne oraz ustaw silne, unikalne hasła dla wszystkich kont administracyjnych.
Inne podatności w Device firmware
Zobacz wszystkie- CVE-2026-27564Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/datastorage/data, wysyłając żądanie PUT z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27563Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/datastorage/data, wysyłając spreparowane żądanie GET z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27562Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/iodd/config, wysyłając spreparowane żądanie PUT z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27561Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/iodd/config, wysyłając spreparowane żądanie GET z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27560Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/status/data, wysyłając spreparowane żądanie DELETE z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-49008Średnie
Poprzez dostęp do niezaszyfrowanych informacji w oprogramowaniu układowym urządzenia, atakujący może uzyskać poświadczenia związane z weryfikacją integralności określonej funkcji aplikacji na urządzeniu.
- CVE-2026-49007Wysokie
Podatność polegająca na dostępie do niezaszyfrowanych informacji w oprogramowaniu układowym urządzenia, co pozwala atakującemu uzyskać początkowe dane logowania do interfejsu webowego urządzenia.
- CVE-2026-49006Średnie
Poprzez dostęp do niezaszyfrowanych informacji w oprogramowaniu układowym urządzenia, atakujący może uzyskać poświadczenia związane z transmisją TLS.
- CVE-2026-49005Niskie
Hash hasła roota urządzenia można uzyskać poprzez niezaszyfrowane informacje w oprogramowaniu układowym.
- CVE-2026-50210Wysokie
Urządzenie szyfruje dane za pomocą AES-CBC ze statycznymi, wypełnionymi zerami wektorami inicjalizacyjnymi (IV), co czyni je podatnym na ataki typu replay i deszyfrowanie znanego tekstu jawnego.
Oryginalny opis (angielski, źródło NVD)
Default factory credentials with administrative access are enabled and persist even after configuring other administrator accounts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS