CVE-2026-49007
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Podatność polegająca na dostępie do niezaszyfrowanych informacji w oprogramowaniu układowym urządzenia, co pozwala atakującemu uzyskać początkowe dane logowania do interfejsu webowego urządzenia.
Ocena ryzyka
Ryzyko obejmuje możliwość nieautoryzowanego dostępu do urządzenia przez interfejs webowy, co może prowadzić do przejęcia kontroli nad urządzeniem.
Rekomendacja
Zaleca się zmianę domyślnych danych logowania oraz zapewnienie szyfrowania danych uwierzytelniających w oprogramowaniu układowym.
Inne podatności w Device firmware
Zobacz wszystkie- CVE-2026-32645Średnie
Domyślne fabryczne dane uwierzytelniające z uprawnieniami administracyjnymi pozostają aktywne i przetrwają nawet po skonfigurowaniu innych kont administratora.
- CVE-2026-27564Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/datastorage/data, wysyłając żądanie PUT z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27563Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/datastorage/data, wysyłając spreparowane żądanie GET z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27562Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/iodd/config, wysyłając spreparowane żądanie PUT z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27561Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/iodd/config, wysyłając spreparowane żądanie GET z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27560Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/status/data, wysyłając spreparowane żądanie DELETE z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-49008Średnie
Poprzez dostęp do niezaszyfrowanych informacji w oprogramowaniu układowym urządzenia, atakujący może uzyskać poświadczenia związane z weryfikacją integralności określonej funkcji aplikacji na urządzeniu.
- CVE-2026-49006Średnie
Poprzez dostęp do niezaszyfrowanych informacji w oprogramowaniu układowym urządzenia, atakujący może uzyskać poświadczenia związane z transmisją TLS.
- CVE-2026-49005Niskie
Hash hasła roota urządzenia można uzyskać poprzez niezaszyfrowane informacje w oprogramowaniu układowym.
- CVE-2026-50210Wysokie
Urządzenie szyfruje dane za pomocą AES-CBC ze statycznymi, wypełnionymi zerami wektorami inicjalizacyjnymi (IV), co czyni je podatnym na ataki typu replay i deszyfrowanie znanego tekstu jawnego.
Oryginalny opis (angielski, źródło NVD)
By accessing unencrypted information in the device firmware, an attacker can obtain the initial login credentials for the device's web interface.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS