CVE-2026-50086
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Brama IAM/SSO Aqara (gw-builder.aqara.com) udostępnia nieuwierzytelniony dwukierunkowy dostęp AES do klucza podpisywania platformy. Jest to brak uwierzytelnienia dla krytycznej funkcji oraz użycie ryzykownego algorytmu kryptograficznego.
Ocena ryzyka
Atakujący bez uwierzytelnienia może odczytać klucz podpisywania, co umożliwia fałszowanie tokenów i podszywanie się pod użytkowników lub urządzenia, prowadząc do naruszenia poufności danych.
Rekomendacja
Należy natychmiast wdrożyć uwierzytelnienie dla wszystkich krytycznych funkcji bramy oraz zastąpić ryzykowny algorytm AES bezpieczniejszym rozwiązaniem, np. zgodnym z aktualnymi standardami.
Inne podatności w Aqara IAM/SSO gateway
Zobacz wszystkie- CVE-2026-50083Krytyczne
Brama Aqara IAM/SSO (gw-builder.aqara.com) używa zakodowanego na stałe poświadczenia klienta OAuth, co stanowi naruszenie zasady CWE-798 (użycie zakodowanych na stałe poświadczeń). Podatność ma szacowany wskaźnik CVSS 9.1 (krytyczny) i umożliwia zdalny atak bez uwierzytelnienia.
- CVE-2026-50089Średnie
Brama Aqara IAM/SSO (gw-builder.aqara.com) zawiera podatność na otwarte przekierowanie (CWE-601), umożliwiającą atakującemu przekierowanie użytkownika na zewnętrzną, złośliwą stronę. Szacowany wskaźnik CVSS wynosi 6.1 (średni).
- CVE-2026-50087Wysokie
Brama Aqara IAM/SSO (gw-builder.aqara.com) zawiera podatność polegającą na nadmiernie liberalnej polityce cross-origin, co pozwala na nieautoryzowany dostęp do zasobów z niezaufanych domen. Jest to klasyfikowane jako CWE-942 i ma szacowany wskaźnik CVSS 8.2 (wysoki).
Oryginalny opis (angielski, źródło NVD)
The Aqara IAM/SSO gateway (gw-builder.aqara.com) exposes bidirectional AES round-trups against the platform's signing key without authentication. This is an instance of "CWE-306: Missing Authentication for Critical Function" and "CWE-327: Use of a Broken or Risky Cryptographic Algorithm," and has an estimated CVSS of CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N (7.5 High).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS