CVE-2026-38057
WysokieCVSS 8.1Streszczenie
Urządzenie iDirect iQ200 nie weryfikuje tokenów CSRF w punktach końcowych API zmieniających stan po uwierzytelnieniu. Punkt końcowy /api/reboot akceptuje żądania POST uwierzytelnione wyłącznie ciasteczkiem sesji bez atrybutu SameSite. Zdalny atakujący może hostować złośliwą stronę WWW, która po odwiedzeniu przez uwierzytelnionego administratora automatycznie wysyła żądanie POST, powodując natychmiastowy restart urządzenia i utratę łącza satelitarnego.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku CSRF prowadzącego do restartu urządzenia i przerwania łączności satelitarnej. Powtarzane ataki mogą spowodować trwałą odmowę usługi (DoS), zakłócając działanie sieci.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie sprzętowe urządzenia iDirect iQ200 do wersji zawierającej mechanizm ochrony CSRF. Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu zarządzania tylko do zaufanych sieci oraz stosowanie dodatkowych zabezpieczeń, takich jak weryfikacja nagłówka Origin.
Inne podatności w iDirect iQ200
Oryginalny opis (angielski, źródło NVD)
The iDirect iQ200 does not validate CSRF tokens on state-changing API endpoints after authentication. The /api/reboot endpoint accepts POST requests authenticated solely by a session cookie that lacks the SameSite attribute. A remote attacker can host a malicious web page that, when visited by an authenticated administrator, automatically submits a cross-site POST request causing an immediate device reboot and satellite link loss. Repeated attacks can sustain a denial-of-service condition.