CVE-2026-67558
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Aplikacja towarzysząca Mira Android v4.5.15.4 identyfikuje sparowany analizator hormonów Mira, wykonując tylko dopasowanie podciągu względem nazwy reklamy BLE, bez kryptograficznego uwierzytelniania urządzenia peryferyjnego, listy dozwolonych adresów MAC ani sprawdzania tożsamości powiązanej. Atakujący może przechwycić informacje o tokenie sesji na żywo i wstrzyknąć sfałszowane pomiary hormonów do rekordu chmurowego ofiary i widoku trendów klinicznych.
Ocena ryzyka
Atakujący w pobliżu może przejąć sesję i manipulować danymi medycznymi, co może prowadzić do błędnych diagnoz lub naruszenia prywatności pacjenta.
Rekomendacja
Zaktualizuj aplikację Mira Android do najnowszej wersji. Upewnij się, że parowanie urządzeń odbywa się w bezpiecznym środowisku.
Oryginalny opis (angielski, źródło NVD)
The Mira Android companion app v4.5.15.4 identifies the paired Mira hormone analyzer by performing a substring match against the BLE advertisement name only, with no cryptographic peripheral authentication, MAC allowlist, or bonded-identity check. An attacker could capture live session token information and inject forged hormone measurements into the victim's cloud record and clinical trend view.