CVE-2026-50088
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Portal deweloperski Aqara (developer.aqara.com) oraz współdzielone środowiska testowe (developer-test.aqara.com, aiot-test.aqara.com) mają nadmiernie liberalną politykę CORS, umożliwiającą nieautoryzowanym domenom wykonywanie żądań międzyźródłowych. Podatność ta jest klasyfikowana jako CWE-942 i ma szacowany wskaźnik CVSS 8.2 (wysoki).
Ocena ryzyka
Atakujący może wykorzystać tę podatność do kradzieży wrażliwych danych użytkowników (np. tokenów sesji) oraz do wykonywania nieautoryzowanych działań w kontekście zalogowanego użytkownika, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Należy natychmiast skonfigurować ścisłą politykę CORS, ograniczając dozwolone domeny tylko do zaufanych źródeł oraz wdrożyć mechanizmy walidacji nagłówków Origin i Referer.
Oryginalny opis (angielski, źródło NVD)
The Aqara Developer Portal (developer.aqara.com) and shared test environments (developer-test.aqara.com, aiot-test.aqara.com) exhibit cross-origin request sharing, which is an instance of "CWE-942: Permissive Cross-domain Policy with Untrusted Domains," and has an estimated CVSS of CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N (8.2 High).