CVE-2026-50091
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Aplikacja Aqara Home na Androida (wersja 6.0.0) oraz klienci white-label używający tej samej biblioteki liblumidevsdk.so zawierają zakodowane na stałe klucze kryptograficzne. Jest to naruszenie zasady CWE-321 i umożliwia atakującemu zdalne przejęcie poufnych danych oraz ich modyfikację bez uwierzytelnienia.
Ocena ryzyka
Organizacja narażona jest na zdalny wyciek i modyfikację wrażliwych danych przesyłanych przez aplikację, co może prowadzić do naruszenia prywatności użytkowników i utraty zaufania do systemu.
Rekomendacja
Należy natychmiast zaktualizować aplikację Aqara Home do najnowszej wersji, która usuwa zakodowane na stałe klucze, oraz wymusić aktualizację u wszystkich użytkowników. W przypadku własnych klientów white-label konieczna jest zmiana biblioteki liblumidevsdk.so na wersję bez tego problemu.
Oryginalny opis (angielski, źródło NVD)
Aqara Home Android (com.lumiunited.aqarahome) 6.0.0 (and white-label clients embedding the same liblumidevsdk.so) uses hard-coded cryptographic keys, which is an instance of "CWE-321: Use of Hard-coded Cryptographic Key" and has an estimated CVSS of CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N (9.1 Critical).