CVE-2026-52748

WysokieCVSS 7.1

Opublikowano: 28/09/2026(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 28/09/2026(UTC)NVD NIST

Streszczenie

Router Kaon AR2140X zawiera podatność, w której funkcja tworzenia kopii zapasowej jest dostępna bez uwierzytelnienia. Pozwala to nieuwierzytelnionemu zdalnemu atakującemu na wywołanie kopii zapasowej konfiguracji i pobranie jej w formie zaszyfrowanej kluczem specyficznym dla urządzenia. Wywołanie tej funkcji czyni router nieoperacyjnym na znaczny okres czasu. Problem dotyczy wersji firmware do 4.2.17. Status nowszych wersji pozostaje nieznany.

Ocena ryzyka

Zdalny atakujący może uzyskać kopię konfiguracji routera, co może ujawnić poufne informacje, a także spowodować niedostępność urządzenia, co zakłóca działanie sieci.

Rekomendacja

Zaleca się ograniczenie dostępu do routera z zewnątrz, monitorowanie pod kątem nieautoryzowanych działań oraz skontaktowanie się z producentem w celu uzyskania informacji o poprawkach.

Inne podatności w Kaon AR2140X

CVE-2026-52749Średnie
Router Kaon AR2140X nieprawidłowo wysyła ciasteczka sesyjne w odpowiedziach na nieuwierzytelnione żądania HTTP. Umożliwia to zdalnemu atakującemu uzyskanie ważnego identyfikatora sesji bez podawania danych uwierzytelniających, co prowadzi do obejścia uwierzytelniania. Z tym dostępem atakujący może wykonywać nieautoryzowane działania w funkcjach związanych z aktualizacją, w tym wymuszać na routerze wysyłanie żądań GET do dowolnie wybranych domen.

Oryginalny opis (angielski, źródło NVD)

The Kaon AR2140X router contains a vulnerability where the backup functionality is accessible without authentication. This allows an unauthenticated remote attacker to trigger a configuration backup and retrieve it in a form encrypted by a device-specific key. Triggering this function renders the router inoperable for a substantial period of time. This issue was identified in firmware versions up to 4.2.17. Status of newer versions remains unknown.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS