CVE-2026-49005
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Hash hasła roota urządzenia można uzyskać poprzez niezaszyfrowane informacje w oprogramowaniu układowym.
Ocena ryzyka
Ryzyko obejmuje możliwość uzyskania hasła roota przez atakującego, co może prowadzić do pełnej kontroli nad urządzeniem.
Rekomendacja
Zaleca się zmianę hasła roota na unikalne i silne oraz aktualizację oprogramowania układowego, jeśli dostępna jest poprawka.
Inne podatności w Device firmware
Zobacz wszystkie- CVE-2026-27564Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/datastorage/data, wysyłając żądanie PUT z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27563Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/datastorage/data, wysyłając spreparowane żądanie GET z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27562Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/iodd/config, wysyłając spreparowane żądanie PUT z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27561Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/iodd/config, wysyłając spreparowane żądanie GET z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27560Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/status/data, wysyłając spreparowane żądanie DELETE z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-49008Średnie
Poprzez dostęp do niezaszyfrowanych informacji w oprogramowaniu układowym urządzenia, atakujący może uzyskać poświadczenia związane z weryfikacją integralności określonej funkcji aplikacji na urządzeniu.
- CVE-2026-49007Wysokie
Podatność polegająca na dostępie do niezaszyfrowanych informacji w oprogramowaniu układowym urządzenia, co pozwala atakującemu uzyskać początkowe dane logowania do interfejsu webowego urządzenia.
- CVE-2026-49006Średnie
Poprzez dostęp do niezaszyfrowanych informacji w oprogramowaniu układowym urządzenia, atakujący może uzyskać poświadczenia związane z transmisją TLS.
- CVE-2026-50210Wysokie
Urządzenie szyfruje dane za pomocą AES-CBC ze statycznymi, wypełnionymi zerami wektorami inicjalizacyjnymi (IV), co czyni je podatnym na ataki typu replay i deszyfrowanie znanego tekstu jawnego.
- CVE-2025-41696Średnie
Atakujący może wykorzystać nieudokumentowany port UART na płytce PCB jako kanał boczny, używając twardo zakodowanych poświadczeń użytkownika uzyskanych z CVE-2025-41692, aby uzyskać dostęp do odczytu części systemu plików urządzenia.
Oryginalny opis (angielski, źródło NVD)
The root password hash of the device can be obtained through unencrypted information in the firmware.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS