CVE-2026-49200
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Plik acer_cgi.log w oprogramowaniu urządzenia jest dostępny bez uwierzytelniania przez interfejs webowy. Zawiera on poświadczenia logowania w postaci jawnego tekstu (dla interfejsu web i Telnet), co prowadzi do nieautoryzowanego dostępu do systemu.
Ocena ryzyka
Atakujący może uzyskać pełny dostęp do urządzenia, przejmując konta administracyjne, co umożliwia modyfikację konfiguracji, kradzież danych lub wykorzystanie urządzenia jako punktu wejścia do sieci wewnętrznej.
Rekomendacja
Należy niezwłocznie zablokować dostęp do pliku acer_cgi.log poprzez odpowiednie reguły firewall lub konfigurację serwera WWW, a także zmienić wszystkie poświadczenia przechowywane w tym pliku.
Oryginalny opis (angielski, źródło NVD)
The acer_cgi.log file in the device firmware is accessible without authentication via the web interface. This file contains cleartext login credentials (for web and Telnet), leading to unauthorized system access.