CVE-2026-66408
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Konta root w DEEBOT PRO M1 i DEEBOT PRO K1VAC są skonfigurowane z słabymi hasłami. Fizyczny dostęp do dotkniętego produktu może pozwolić na uzyskanie hasła konta root.
Ocena ryzyka
Osoba z fizycznym dostępem do robota może uzyskać uprawnienia administratora, co może prowadzić do pełnej kompromitacji urządzenia.
Rekomendacja
Zmień hasło root na silne i unikalne oraz ogranicz fizyczny dostęp do urządzenia.
Inne podatności w DEEBOT PRO M1 / K1VAC
Zobacz wszystkie- CVE-2026-66411Średnie
DEEBOT PRO M1 i DEEBOT PRO K1VAC nieprawidłowo implementują algorytm uwierzytelniania w komunikacji Websocket. Nieuwierzytelniony atakujący może połączyć się i sterować dotkniętym robotem.
- CVE-2026-66409Średnie
DEEBOT PRO M1 i DEEBOT PRO K1VAC są skonfigurowane z słabymi hasłami dla swoich sieci Wi-Fi hotspot. Hasło może zostać przeanalizowane i uzyskane, aby połączyć się z punktem dostępowym dotkniętego robota.
- CVE-2026-66407Wysokie
DEEBOT PRO M1 i DEEBOT PRO K1VAC nieprawidłowo implementują uwierzytelnianie w komunikacji WebSocket. Prywatny klucz WebSocket może zostać odzyskany poprzez analizę ruchu sieciowego podczas ataku man-in-the-middle, a treść komunikacji może zostać zmieniona.
- CVE-2026-66406Średnie
DEEBOT PRO M1 i DEEBOT PRO K1VAC używają polecenia wget z wyłączoną weryfikacją certyfikatów serwera. Atak typu man-in-the-middle może pozwolić na uzyskanie i/lub zmianę komunikacji dotkniętych produktów. W rezultacie może zostać wykonany dowolny kod z uprawnieniami administracyjnymi.
- CVE-2026-66405Wysokie
DEEBOT PRO M1 i DEEBOT PRO K1VAC pozostawiają włączone serwery telnet. Usługa telnet może zostać wykorzystana do zalogowania się do dotkniętych produktów.
- CVE-2026-66404Średnie
DEEBOT PRO M1 i DEEBOT PRO K1VAC nie weryfikują certyfikatów serwera w komunikacji MQTT. Dzienniki operacji i dzienniki aktywności przechowywane na dotkniętych produktach mogą zostać pobrane.
- CVE-2026-66403Wysokie
DEEBOT PRO M1 i DEEBOT PRO K1VAC pozostawiają włączony serwer WWW do celów debugowania. Mapa pomieszczeń i informacje z dzienników przechowywane na dotkniętych produktach mogą zostać pobrane.
Oryginalny opis (angielski, źródło NVD)
The root accounts of DEEBOT PRO M1 and DEEBOT PRO K1VAC are configured with weak passwords. Physical access to an affected product may allow to obtain the password of the root account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS