CVE-2026-86553

WysokieCVSS 8.8

Opublikowano: 20/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 20/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.45%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

Aplikacja SmartLife dynamicznie generuje parametry uwierzytelniania w procesie wykonawczym. Atakujący, używając tych parametrów, może bezpośrednio wywołać interfejs /account/verify.serv, aby uzyskać prawdziwy identyfikator konta dla zarejestrowanego adresu e-mail. Podszywając się pod dane uwierzytelniające aplikacji wraz z identyfikatorem konta, może zresetować hasło docelowego konta.

Ocena ryzyka

Atakujący może przejąć kontrolę nad kontami użytkowników, co prowadzi do naruszenia prywatności i potencjalnych dalszych ataków.

Rekomendacja

Należy natychmiast skontaktować się z producentem aplikacji SmartLife w celu uzyskania poprawek oraz rozważyć tymczasowe wyłączenie funkcji resetowania hasła.

Inne podatności w SmartLife app

CVE-2026-86552Średnie
Aplikacja SmartLife dynamicznie generuje nowe parametry uwierzytelniania w czasie wykonania. Z ich użyciem atakujący może bezpośrednio zarejestrować konto na dowolny adres e-mail przez interfejs /account/person/signup.serv. Własność adresu e-mail nie jest weryfikowana przed rejestracją.

Oryginalny opis (angielski, źródło NVD)

SmartLife app dynamically generates fresh SmartLife application authentication parameters inside its runtime process. Using the acquired SmartLife application authentication parameters, an attacker can directly call the backend interface /account/verify.serv to obtain the real account ID corresponding to a registered email address. By spoofing the application authentication information together with the target account ID, the attacker can reset the password of the target account.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS