CVE-2026-66411
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
DEEBOT PRO M1 i DEEBOT PRO K1VAC nieprawidłowo implementują algorytm uwierzytelniania w komunikacji Websocket. Nieuwierzytelniony atakujący może połączyć się i sterować dotkniętym robotem.
Ocena ryzyka
Atakujący może przejąć kontrolę nad robotem, co może prowadzić do naruszenia prywatności, uszkodzenia mienia lub innych szkód.
Rekomendacja
Zaktualizuj oprogramowanie sprzętowe robota do wersji z poprawką i ogranicz dostęp do sieci, w której robot się znajduje.
Inne podatności w DEEBOT PRO M1 / K1VAC
Zobacz wszystkie- CVE-2026-66409Średnie
DEEBOT PRO M1 i DEEBOT PRO K1VAC są skonfigurowane z słabymi hasłami dla swoich sieci Wi-Fi hotspot. Hasło może zostać przeanalizowane i uzyskane, aby połączyć się z punktem dostępowym dotkniętego robota.
- CVE-2026-66408Średnie
Konta root w DEEBOT PRO M1 i DEEBOT PRO K1VAC są skonfigurowane z słabymi hasłami. Fizyczny dostęp do dotkniętego produktu może pozwolić na uzyskanie hasła konta root.
- CVE-2026-66407Wysokie
DEEBOT PRO M1 i DEEBOT PRO K1VAC nieprawidłowo implementują uwierzytelnianie w komunikacji WebSocket. Prywatny klucz WebSocket może zostać odzyskany poprzez analizę ruchu sieciowego podczas ataku man-in-the-middle, a treść komunikacji może zostać zmieniona.
- CVE-2026-66406Średnie
DEEBOT PRO M1 i DEEBOT PRO K1VAC używają polecenia wget z wyłączoną weryfikacją certyfikatów serwera. Atak typu man-in-the-middle może pozwolić na uzyskanie i/lub zmianę komunikacji dotkniętych produktów. W rezultacie może zostać wykonany dowolny kod z uprawnieniami administracyjnymi.
- CVE-2026-66405Wysokie
DEEBOT PRO M1 i DEEBOT PRO K1VAC pozostawiają włączone serwery telnet. Usługa telnet może zostać wykorzystana do zalogowania się do dotkniętych produktów.
- CVE-2026-66404Średnie
DEEBOT PRO M1 i DEEBOT PRO K1VAC nie weryfikują certyfikatów serwera w komunikacji MQTT. Dzienniki operacji i dzienniki aktywności przechowywane na dotkniętych produktach mogą zostać pobrane.
- CVE-2026-66403Wysokie
DEEBOT PRO M1 i DEEBOT PRO K1VAC pozostawiają włączony serwer WWW do celów debugowania. Mapa pomieszczeń i informacje z dzienników przechowywane na dotkniętych produktach mogą zostać pobrane.
Oryginalny opis (angielski, źródło NVD)
DEEBOT PRO M1 and DEEBOT PRO K1VAC incorrectly implement authentication algorithm in Websocket communications. An unauthenticated attacker may connect and operate the affected robot.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS