CVE-2026-50086
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Brama IAM/SSO Aqara (gw-builder.aqara.com) udostępnia nieuwierzytelniony dwukierunkowy dostęp AES do klucza podpisywania platformy. Jest to brak uwierzytelnienia dla krytycznej funkcji oraz użycie ryzykownego algorytmu kryptograficznego.
Ocena ryzyka
Atakujący bez uwierzytelnienia może odczytać klucz podpisywania, co umożliwia fałszowanie tokenów i podszywanie się pod użytkowników lub urządzenia, prowadząc do naruszenia poufności danych.
Rekomendacja
Należy natychmiast wdrożyć uwierzytelnienie dla wszystkich krytycznych funkcji bramy oraz zastąpić ryzykowny algorytm AES bezpieczniejszym rozwiązaniem, np. zgodnym z aktualnymi standardami.
Oryginalny opis (angielski, źródło NVD)
The Aqara IAM/SSO gateway (gw-builder.aqara.com) exposes bidirectional AES round-trups against the platform's signing key without authentication. This is an instance of "CWE-306: Missing Authentication for Critical Function" and "CWE-327: Use of a Broken or Risky Cryptographic Algorithm," and has an estimated CVSS of CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N (7.5 High).