CVE-2026-61515
KrytyczneCVSS 9.8Streszczenie
Kamery IP Puwell z oprogramowaniem w wersjach 2.x do 4.x zawierają podatność na nieuwierzytelnione wstrzyknięcie komend, która pozwala zdalnym atakującym na wykonanie dowolnych poleceń systemu operacyjnego poprzez wysłanie spreparowanego ładunku JSON do interfejsu DebugShell na porcie TCP 34567. Atakujący mogą wykorzystać brak uwierzytelniania i sanityzacji danych wejściowych w usłudze protokołu binarnego, aby przekazać dowolne polecenia bezpośrednio do systemu operacyjnego, osiągając wykonanie kodu na poziomie root i całkowite przejęcie urządzenia.
Ocena ryzyka
Ryzyko obejmuje całkowite przejęcie kamery IP, co może prowadzić do szpiegowania, zakłócenia działania urządzenia lub wykorzystania go jako punktu wejścia do sieci.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie oprogramowania kamery do wersji nowszej niż 4.x, jeśli dostępna, oraz ograniczenie dostępu do portu 34567 tylko dla zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
Puwell IP Camera firmware versions 2.x through 4.x contains an unauthenticated command injection vulnerability that allows remote attackers to execute arbitrary operating system commands by sending a crafted JSON payload to the DebugShell interface exposed on TCP port 34567. Attackers can exploit the lack of authentication and input sanitization in the binary protocol service to pass arbitrary commands directly to the underlying operating system, achieving root-level code execution and complete device compromise.