CVE-2026-36959

WysokieCVSS 7.5

Opublikowano: 30/04/2026(UTC)Zaktualizowano: 05/07/2026(UTC)Przetłumaczono: 06/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

Router U-SPEED N300 w wersji V1.0.0 nie implementuje ograniczeń szybkości ani blokady konta na punkcie końcowym /api/login. Umożliwia to atakującemu w sieci lokalnej przeprowadzenie nieograniczonej liczby prób uwierzytelnienia, co pozwala na atak brute-force na konto administratora i potencjalny nieautoryzowany dostęp do interfejsu zarządzania routerem.

Ocena ryzyka

Ryzyko polega na możliwości przejęcia kontroli nad routerem przez atakującego z sieci lokalnej, co może prowadzić do naruszenia bezpieczeństwa sieci, przechwycenia ruchu lub dalszych ataków na urządzenia w sieci.

Rekomendacja

Należy natychmiast zaktualizować oprogramowanie routera do najnowszej wersji, która implementuje ograniczenia szybkości i blokadę konta. Jeśli aktualizacja nie jest dostępna, rozważ ograniczenie dostępu do interfejsu zarządzania tylko do zaufanych adresów IP lub zastosowanie dodatkowych zabezpieczeń sieciowych.

Inne podatności w U-SPEED N300 router

CVE-2026-36960Wysokie
W interfejsie zarządzania sieciowego routera U-SPEED N300 w wersji V1.0.0 brakuje mechanizmów ochrony przed CSRF, takich jak tokeny anty-CSRF czy walidacja nagłówków Origin/Referer. Atakujący może wykorzystać tę lukę, tworząc złośliwą stronę WWW, która wysyła sfałszowane żądania HTTP do punktów końcowych konfiguracji. Jeśli uwierzytelniony administrator odwiedzi tę stronę, jego przeglądarka automatycznie dołączy ważne ciasteczko sesji, co pozwoli na wykonanie nieautoryzowanych działań administracyjnych.

Oryginalny opis (angielski, źródło NVD)

U-SPEED N300 router V1.0.0 does not implement rate limiting or account lockout protections on the /api/login endpoint. This allows an attacker on the local network to perform unlimited authentication attempts, enabling brute-force attacks against the administrator account and potential unauthorized access to the router management interface.