CVE-2026-47096
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Firmware AJA HELO Plus przed wersją 2.1.7 zawiera podatność typu stored XSS, która pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym wstrzyknąć złośliwy JavaScript poprzez ustawienie nieoczyszczonej wartości eParamID_SystemName przez API /config?action=set. Gdy uwierzytelnianie urządzenia jest wyłączone, skrypt wykonuje się trwale w przeglądarce administratora otwierającego interfejs zarządzania, umożliwiając kradzież sekretów (dane logowania do UI, klucze strumieni RTMP, adresy publikacji, dane logowania do udziałów NFS/SMB) oraz przejęcie sesji.
Ocena ryzyka
Pozwala na kradzież poufnych danych uwierzytelniających i przejęcie sesji administratora, co może prowadzić do pełnej kompromitacji urządzenia i powiązanej infrastruktury. Wymaga jedynie dostępu sieciowego do urządzenia z wyłączonym uwierzytelnianiem.
Rekomendacja
Zaktualizować firmware AJA HELO Plus do wersji 2.1.7 lub nowszej oraz włączyć uwierzytelnianie urządzenia. Ograniczyć dostęp sieciowy do interfejsu zarządzania do zaufanych sieci.
Inne podatności w AJA HELO Plus
Oryginalny opis (angielski, źródło NVD)
AJA HELO Plus firmware before 2.1.7 contains a stored cross-site scripting vulnerability that allows unauthenticated attackers with network access to inject malicious JavaScript by setting an unsanitized eParamID_SystemName value through the /config?action=set web configuration API. Attackers can exploit this flaw when device authentication is disabled to persistently execute arbitrary script in the browser of any administrator who opens the web management interface, enabling theft of stored secrets such as web UI credentials, RTMP stream keys, publish URLs, and NFS/SMB share credentials, as well as hijacking of the authenticated session.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS