CVE-2026-86552

ŚrednieCVSS 5.4

Opublikowano: 20/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 20/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Aplikacja SmartLife dynamicznie generuje nowe parametry uwierzytelniania w czasie wykonania. Z ich użyciem atakujący może bezpośrednio zarejestrować konto na dowolny adres e-mail przez interfejs /account/person/signup.serv. Własność adresu e-mail nie jest weryfikowana przed rejestracją.

Ocena ryzyka

Atakujący może tworzyć fałszywe konta, co może prowadzić do nadużyć i naruszenia integralności systemu.

Rekomendacja

Należy skontaktować się z producentem aplikacji SmartLife w celu uzyskania poprawek oraz rozważyć wzmocnienie procesu rejestracji.

Inne podatności w SmartLife app

CVE-2026-86553Wysokie
Aplikacja SmartLife dynamicznie generuje parametry uwierzytelniania w procesie wykonawczym. Atakujący, używając tych parametrów, może bezpośrednio wywołać interfejs /account/verify.serv, aby uzyskać prawdziwy identyfikator konta dla zarejestrowanego adresu e-mail. Podszywając się pod dane uwierzytelniające aplikacji wraz z identyfikatorem konta, może zresetować hasło docelowego konta.

Oryginalny opis (angielski, źródło NVD)

SmartLife app dynamically generates brand‑new SmartLife application authentication parameters at runtime. With the acquired SmartLife application authentication credentials, an attacker can directly complete registration using any arbitrary email address via the backend interface /account/person/signup.serv. Email ownership is not verified prior to registration.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS