CVE-2026-73125

Urządzenia Ebyte polegają na logice uwierzytelniania po stronie klienta, która może być odtworzona przez nieuwierzytelnionych użytkowników. Atakujący może generować prawidłowe żądania uwierzytelniające i ominąć uwierzytelnianie, aby uzyskać administracyjny dostęp do urządzenia.

Urządzenie Ebyte polega na tokenach uwierzytelniających zarządzanych przez klienta bez wystarczającej weryfikacji po stronie serwera. Atakujący może powtórzyć lub manipulować tokenami uwierzytelniającymi, aby uzyskać nieautoryzowany dostęp do funkcji administracyjnych.

Urządzenie Ebyte nie ogranicza powtarzanych prób uwierzytelniania poprzez limitowanie szybkości lub mechanizmy blokady konta. To może pozwolić atakującemu na przeprowadzanie zautomatyzowanych ataków uwierzytelniających na systemy korzystające z uwierzytelniania hasłem.

Urządzenie Ebyte nie weryfikuje odpowiednio pochodzenia ani autentyczności żądań przesyłanych do interfejsu zarządzania siecią. Nieuwierzytelniony zdalny atakujący może nakłonić uwierzytelnionego administratora do odwiedzenia spreparowanej strony, co może spowodować nieautoryzowane zmiany konfiguracji lub zakłócenie dostępności urządzenia.

Niektóre punkty końcowe konfiguracji mogą nie mieć odpowiednich kontroli autoryzacji po stronie serwera, co pozwala nieautoryzowanym użytkownikom na dostęp lub modyfikację wrażliwych ustawień urządzenia. Może to prowadzić do całkowitego przejęcia funkcji urządzenia.

Interfejs zarządzania urządzeniem Ebyte nie ogranicza renderowania w zewnętrznej ramce (clickjacking). Nieuwierzytelniony zdalny atakujący może użyć spreparowanej strony, aby nakłonić administratora do niezamierzonych zmian konfiguracji lub destrukcyjnych działań.

Poświadczenia administracyjne mogą być ujawniane w postaci jawnego tekstu w interfejsie zarządzania urządzeniem Ebyte, co zwiększa ryzyko ich przechwycenia przez obserwację wizualną lub zdalną. Podważa to poufność dostępu do urządzenia.