CVE-2026-61514
KrytyczneCVSS 9.8Streszczenie
Kamery IP Puwell z oprogramowaniem w wersjach 2.x do 4.x zawierają podatność na obejście uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na dostęp do funkcji urządzenia poprzez wysyłanie pakietów zgodnych z protokołem na porcie TCP 23456 bez poświadczeń. Atakujący mogą wykorzystać nieweryfikowane pole Session w nagłówku zastrzeżonego protokołu sterowania, aby uzyskać dostęp do strumieni wideo na żywo, sterować silnikami pan/tilt, aktywować funkcje audio i zdalnie restartować urządzenie.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do podglądu wideo, manipulację kamerą i zakłócenie jej działania, co może naruszyć prywatność i bezpieczeństwo fizyczne.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie oprogramowania kamery do wersji nowszej niż 4.x, jeśli dostępna, oraz ograniczenie dostępu do portu 23456 tylko dla zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
Puwell IP Camera firmware versions 2.x through 4.x contains an authentication bypass vulnerability that allows unauthenticated attackers to access device functions by sending protocol-conforming packets over TCP port 23456 without credentials. Attackers can exploit the unvalidated Session field in the proprietary control protocol header to access live video streams, control pan and tilt motors, activate audio functions, and remotely restart the device.