CVE-2026-3867

ŚrednieCVSS 6.0

Opublikowano: 27/04/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

W Moxa Secure Router występuje niewłaściwe zarządzanie własnością, w wyniku którego niskopriorytetowy uwierzytelniony użytkownik może uzyskać dostęp do pliku konfiguracyjnego zawierającego zahaszowane hasło konta administracyjnego. Wykorzystanie jest możliwe tylko w określonym warunku — gdy plik konfiguracyjny został wyeksportowany. Podatność nie wpływa na integralność ani dostępność produktu.

Ocena ryzyka

Atakujący może pozyskać wrażliwe informacje (hash hasła administratora), co ułatwia dalsze ataki na urządzenie.

Rekomendacja

Ogranicz dostęp do wyeksportowanych plików konfiguracyjnych i rozważ zmianę hasła administracyjnego; śledź aktualizacje producenta.

Inne podatności w Moxa Secure Router

CVE-2026-3868Wysokie
W routerze Secure Router firmy Moxa wykryto podatność związaną z nieprawidłowym obsługiwaniem niespójności parametru długości. Z powodu braku walidacji parametrów długości w interfejsie zarządzania HTTPS, nieuwierzytelniony zdalny atakujący może wysłać specjalnie spreparowane żądania, które wywołują przepełnienie bufora, powodując brak reakcji usługi webowej. Skuteczne wykorzystanie może prowadzić do odmowy usługi wymagającej restartu urządzenia.

Oryginalny opis (angielski, źródło NVD)

An improper ownership management vulnerability has been identified in Moxa’s Secure Router. Because of improper ownership management, a low-privileged authenticated user may access a configuration file containing the hashed password of the administrative account. Successful exploitation of this vulnerability could allow an attacker to obtain sensitive information. Exploitation is only possible under a specific condition — when the configuration file has been exported. This vulnerability does not impact the integrity or availability of the affected product, and no confidentiality, integrity, or availability impact to the subsequent system has been identified.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS