CVE-2026-71187

Interfejs zarządzania siecią urządzeń Ebyte nie egzekwuje spójnie uwierzytelniania przed przyznaniem dostępu do funkcji administracyjnych. Nieuwierzytelniony zdalny atakujący może uzyskać dostęp do wrażliwych informacji konfiguracyjnych, modyfikować ustawienia urządzenia lub zakłócić dostępność.

Urządzenie Ebyte polega na tokenach uwierzytelniających zarządzanych przez klienta bez wystarczającej weryfikacji po stronie serwera. Atakujący może powtórzyć lub manipulować tokenami uwierzytelniającymi, aby uzyskać nieautoryzowany dostęp do funkcji administracyjnych.

Urządzenie Ebyte nie ogranicza powtarzanych prób uwierzytelniania poprzez limitowanie szybkości lub mechanizmy blokady konta. To może pozwolić atakującemu na przeprowadzanie zautomatyzowanych ataków uwierzytelniających na systemy korzystające z uwierzytelniania hasłem.

Urządzenie Ebyte nie weryfikuje odpowiednio pochodzenia ani autentyczności żądań przesyłanych do interfejsu zarządzania siecią. Nieuwierzytelniony zdalny atakujący może nakłonić uwierzytelnionego administratora do odwiedzenia spreparowanej strony, co może spowodować nieautoryzowane zmiany konfiguracji lub zakłócenie dostępności urządzenia.

Niektóre punkty końcowe konfiguracji mogą nie mieć odpowiednich kontroli autoryzacji po stronie serwera, co pozwala nieautoryzowanym użytkownikom na dostęp lub modyfikację wrażliwych ustawień urządzenia. Może to prowadzić do całkowitego przejęcia funkcji urządzenia.

Interfejs zarządzania urządzeniem Ebyte nie ogranicza renderowania w zewnętrznej ramce (clickjacking). Nieuwierzytelniony zdalny atakujący może użyć spreparowanej strony, aby nakłonić administratora do niezamierzonych zmian konfiguracji lub destrukcyjnych działań.

Poświadczenia administracyjne mogą być ujawniane w postaci jawnego tekstu w interfejsie zarządzania urządzeniem Ebyte, co zwiększa ryzyko ich przechwycenia przez obserwację wizualną lub zdalną. Podważa to poufność dostępu do urządzenia.