CVE-2026-66407
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
DEEBOT PRO M1 i DEEBOT PRO K1VAC nieprawidłowo implementują uwierzytelnianie w komunikacji WebSocket. Prywatny klucz WebSocket może zostać odzyskany poprzez analizę ruchu sieciowego podczas ataku man-in-the-middle, a treść komunikacji może zostać zmieniona.
Ocena ryzyka
Atakujący może przechwycić i modyfikować komunikację z urządzeniem, co może prowadzić do naruszenia prywatności, nieautoryzowanej kontroli urządzenia lub manipulacji danymi.
Rekomendacja
Zaleca się zaktualizowanie oprogramowania urządzeń DEEBOT PRO M1 i K1VAC do wersji z poprawką oraz unikanie korzystania z niezabezpieczonych sieci.
Inne podatności w DEEBOT PRO M1/K1VAC
Zobacz wszystkie- CVE-2026-66411Średnie
DEEBOT PRO M1 i DEEBOT PRO K1VAC nieprawidłowo implementują algorytm uwierzytelniania w komunikacji Websocket. Nieuwierzytelniony atakujący może połączyć się i sterować dotkniętym robotem.
- CVE-2026-66409Średnie
DEEBOT PRO M1 i DEEBOT PRO K1VAC są skonfigurowane z słabymi hasłami dla swoich sieci Wi-Fi hotspot. Hasło może zostać przeanalizowane i uzyskane, aby połączyć się z punktem dostępowym dotkniętego robota.
- CVE-2026-66408Średnie
Konta root w DEEBOT PRO M1 i DEEBOT PRO K1VAC są skonfigurowane z słabymi hasłami. Fizyczny dostęp do dotkniętego produktu może pozwolić na uzyskanie hasła konta root.
- CVE-2026-66406Średnie
DEEBOT PRO M1 i DEEBOT PRO K1VAC używają polecenia wget z wyłączoną weryfikacją certyfikatów serwera. Atak typu man-in-the-middle może pozwolić na uzyskanie i/lub zmianę komunikacji dotkniętych produktów. W rezultacie może zostać wykonany dowolny kod z uprawnieniami administracyjnymi.
- CVE-2026-66405Wysokie
DEEBOT PRO M1 i DEEBOT PRO K1VAC pozostawiają włączone serwery telnet. Usługa telnet może zostać wykorzystana do zalogowania się do dotkniętych produktów.
- CVE-2026-66404Średnie
DEEBOT PRO M1 i DEEBOT PRO K1VAC nie weryfikują certyfikatów serwera w komunikacji MQTT. Dzienniki operacji i dzienniki aktywności przechowywane na dotkniętych produktach mogą zostać pobrane.
- CVE-2026-66403Wysokie
DEEBOT PRO M1 i DEEBOT PRO K1VAC pozostawiają włączony serwer WWW do celów debugowania. Mapa pomieszczeń i informacje z dzienników przechowywane na dotkniętych produktach mogą zostać pobrane.
Oryginalny opis (angielski, źródło NVD)
DEEBOT PRO M1 and DEEBOT PRO K1VAC improperly implement authentication in WebSocket communication. The WebSocket private key may be retrieved through analyzing the traffic data via a man-in-the-middle attack, and communication contents may be altered.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS