CVE-2026-64934
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Chmura API Mira akceptuje wersję oprogramowania sprzętowego zgłoszoną przez aplikację towarzyszącą jako autorytatywną dla danego urządzenia, bez niezależnego potwierdzenia wersji z samego urządzenia. Uwierzytelniony atakujący może przesłać dowolne ciągi wersji oprogramowania dla swojego urządzenia, co pozwala na unikanie analiz podatności po stronie producenta, tłumienie monitów o aktualizacje bezpieczeństwa i fałszowanie wskaźników wdrożenia poprawek.
Ocena ryzyka
Ryzyko obejmuje brak wykrycia podatnych urządzeń przez producenta, co może opóźnić dystrybucję poprawek i narazić użytkowników na znane zagrożenia. Może to również wpłynąć na zgodność z wymogami bezpieczeństwa.
Rekomendacja
Zaleca się, aby producent wdrożył niezależne potwierdzanie wersji oprogramowania sprzętowego bezpośrednio z urządzenia. Użytkownicy powinni aktualizować aplikację i oprogramowanie sprzętowe tylko z zaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
The Mira cloud API accepts the firmware version reported by the companion app as authoritative for a given device, without independently attesting the version from the device itself. An authenticated attacker could submit arbitrary firmware version strings for their own device, allowing them to evade vendor-side vulnerable-fleet analytics, suppress security update prompts to the user, and misrepresent patch-adoption metrics.