CVE-2026-79396

KrytyczneCVSS 9.8

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 14/09/2026(UTC)Przetłumaczono: 12/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

W kamerze IP Xiongmai XM530 z firmware HMT.CM2005-v220608.1837 i wcześniejszym zastosowano wbudowane domyślne poświadczenia przechowywane w postaci jawnej w pliku bin/config.xml oraz skompilowane w pliku wykonywalnym Sofia, co pozwala zdalnym atakującym uzyskać pełną kontrolę administracyjną nad kamerą.

Ocena ryzyka

Atakujący może przejąć pełną kontrolę nad kamerą, w tym podglądać obraz, zmieniać konfigurację i wykorzystać urządzenie jako punkt wejścia do sieci.

Rekomendacja

Natychmiast zmień domyślne poświadczenia, zaktualizuj firmware do wersji pozbawionej podatności i odizoluj kamery w dedykowanej sieci VLAN.

Inne podatności w Xiongmai IP Camera XM530

CVE-2026-79394Niskie ryzyko· EPSS 13%
Niezabezpieczona domyślna konfiguracja wbudowanego serwera Happytime RTSP w demonie Sofia IPC w kamerze Xiongmai XM530 z firmware HMT.CM2005-v220608.1837 i wcześniejszym powoduje, że uwierzytelnianie jest wyłączone, co pozwala nieuwierzytelnionym zdalnym atakującym na dostęp do strumieni wideo H.264 i audio G.711 w postaci jawnej przez nieszyfrowane RTP/UDP.

Oryginalny opis (angielski, źródło NVD)

Use of hardcoded default credentials in Xiongmai IP Camera XM530 firmware HMT.CM2005-v220608.1837 and earlier stores static account credentials in unencrypted plaintext within bin/config.xml and compiled into the Sofia executable, allowing remote attackers to gain full administrative control over the camera.