CVE-2026-3611
KrytyczneCVSS 10.0Streszczenie
Kontroler zarządzania budynkiem Honeywell IQ4x w domyślnej konfiguracji fabrycznej udostępnia pełny interfejs HMI bez uwierzytelnienia. Brak skonfigurowanego modułu użytkownika powoduje, że bezpieczeństwo jest wyłączone, a system działa w kontekście Gościa Systemowego, co umożliwia dostęp do funkcji odczytu/zapisu każdemu, kto ma dostęp do interfejsu HTTP.
Ocena ryzyka
Organizacja jest narażona na ryzyko nieautoryzowanego dostępu do systemu, co może prowadzić do utraty kontroli nad konfiguracją i administracją. Atakujący może stworzyć nowe konto z uprawnieniami administracyjnymi, co skutkuje zablokowaniem prawdziwych operatorów.
Rekomendacja
Zaleca się skonfigurowanie modułu użytkownika oraz włączenie uwierzytelnienia w celu zabezpieczenia dostępu do interfejsu HMI. Należy również przeprowadzić audyt istniejących kont użytkowników i ich uprawnień.
Powiązane podatności
- CVE-2026-15340Krytyczne
Klient SMTP w bibliotece lwIP nie sprawdza rozmiaru danych wejściowych, co może prowadzić do przepełnienia bufora.
- CVE-2026-108109Krytyczne
PHPNuxBill do wersji 2025.3.20 zawiera podatność przejęcia konta w procesie resetowania hasła klienta w pliku system/controllers/forgot.php. Nieuwierzytelniony atakujący może brute-force'ować 6-cyfrowy kod OTP bez limitów prób i blokady, a następnie odczytać nowo ustawione hasło z odpowiedzi HTTP.
- CVE-2026-108107Krytyczne
PHPNuxBill do wersji 2025.3.20 zawiera nieuwierzytelnioną podatność SQL injection w endpoincie REST FreeRADIUS w pliku radius.php, który wstawia parametry żądania do zapytań whereRaw(). Atakujący może wysyłać spreparowane parametry username, macAddr lub nasid do akcji accounting lub authenticate, aby wyodrębnić rekordy klientów i poświadczenia za pomocą czasowej ślepej SQL injection.
- CVE-2026-107806Krytyczne
Nginx UI to interfejs webowy dla serwera Nginx. Od wersji 2.3.8 do 2.5.0 uwierzytelniony administrator z aktywną sesją może przesłać kontrolowany przez atakującego materiał klucza kopii zapasowej i pasujący manifest do POST /api/restore. Proces przywracania ufa dostarczonemu kluczowi, odszyfrowuje kontrolowaną treść i zastępuje plik app.ini, w tym chronione ustawienia poleceń nginx, takie jak TestConfigCmd. Wywołanie POST /api/nginx/test wykonuje przywrócone polecenie w kontekście środowiska Nginx UI.
- CVE-2026-105278Krytyczne
Opublikowany obraz Docker dla openPDC zawiera stałe poświadczenia administracyjne, które nie są wymuszane do zmiany przy pierwszym użyciu. Atakujący z dostępem sieciowym do interfejsu zarządzania może uwierzytelnić się tymi poświadczeniami i uzyskać pełną kontrolę administracyjną nad aplikacją.
- CVE-2026-100730Krytyczne
Interfejs konsoli usługi w openPDC i openHistorian deserializuje strukturę danych dostarczoną przez klienta. W systemach z uwierzytelnianiem Windows atakujący musi być uwierzytelniony, aby uzyskać dostęp do tej funkcji; w systemach bez uwierzytelniania Windows jest ona dostępna dla nieuwierzytelnionego atakującego sieciowego. Może to pozwolić na zdalne wykonanie kodu z uprawnieniami konta usługi.
- CVE-2026-86405Krytyczne
Moduł PrestaShop Virtual POS firmy Sipay Electronic Money and Payment Services Inc. zawiera podatność nieprawidłowej weryfikacji podpisu kryptograficznego, co pozwala na podszywanie się pod podpis poprzez niewłaściwą walidację. Problem dotyczy wersji od 26.8.1 do 26.9.1.
- CVE-2026-85531Krytyczne
Moduł OpenCart Virtual POS firmy Sipay Electronic Money and Payment Services Inc. zawiera podatność nieprawidłowej weryfikacji podpisu kryptograficznego, co pozwala na podszywanie się pod podpis poprzez niewłaściwą walidację. Problem dotyczy wersji od 26.8.2 do 26.9.1.
- CVE-2026-96809Krytyczne
Wtyczka EduAdmin Booking (eduadmin-booking) firmy MultiNet Interactive AB zawiera lukę SQL Injection (niewłaściwa neutralizacja specjalnych elementów w komendach SQL). Umożliwia ona atakującemu przeprowadzenie ślepej iniekcji SQL. Problem dotyczy wersji od n/a do przed 6.0.0.
- CVE-2026-96331Krytyczne
Wtyczka Ajax Search Pro (ajax-search-pro) firmy wpdreams zawiera lukę SQL Injection (niewłaściwa neutralizacja specjalnych elementów w komendach SQL). Umożliwia ona atakującemu przeprowadzenie ślepej iniekcji SQL. Problem dotyczy wersji od n/a do 4.29.1 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Honeywell IQ4x building management controller, exposes its full web-based HMI without authentication in its factory-default configuration. With no user module configured, security is disabled by design and the system operates under a System Guest (level 100) context, granting read/write privileges to any party able to reach the HTTP interface. Authentication controls are only enforced after a web user is created via U.htm, which dynamically enables the user module. Because this function is accessible prior to authentication, a remote user can create a new account with administrative read/write permissions enabling the user module and imposing authentication under attacker-controlled credentials. This action can effectively lock legitimate operators out of local and web-based configuration and administration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS