CVE-2026-9144
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Podatność XSS (przechowywana) w bramie SMS Alert Taiko AG1000-01A. Uwierzytelniony atakujący może wstrzyknąć trwały JavaScript poprzez fragmentację złośliwych ładunków w polach formularza administracyjnego, omijając ograniczenia długości.
Ocena ryzyka
Atakujący może wykonać dowolny JavaScript w sesji administratora, co może prowadzić do kradzieży sesji, modyfikacji konfiguracji lub dalszych ataków.
Rekomendacja
Zaktualizuj oprogramowanie sprzętowe bramy do najnowszej wersji. Ogranicz dostęp do panelu administracyjnego tylko do zaufanych adresów IP.
Inne podatności w Taiko AG1000-01A
Zobacz wszystkie- CVE-2026-9141Krytyczne
Brama alertów SMS Taiko AG1000-01A w wersjach Rev 7.3 i Rev 8 zawiera podatność pozwalającą na ominięcie uwierzytelniania w interfejsie konfiguracji webowej. Nieuwierzytelnieni atakujący mogą uzyskać dostęp do wewnętrznych stron aplikacji, takich jak index.zhtml, point.zhtml i log.shtml, bez żadnego zarządzania sesją ani kontroli po stronie serwera, co umożliwia pełny dostęp administracyjny do odczytu i zapisu.
- CVE-2026-9139Krytyczne
Urządzenie Taiko AG1000-01A SMS Alert Gateway w wersjach Rev 7.3 i Rev 8 zawiera zakodowane na stałe poświadczenia w interfejsie webowym. Uwierzytelnianie jest zaimplementowane wyłącznie w JavaScript po stronie klienta, co umożliwia odczytanie poświadczeń z kodu źródłowego strony.
Oryginalny opis (angielski, źródło NVD)
Taiko AG1000-01A SMS Alert Gateway Rev 7.3 and Rev 8 contains a stored cross-site scripting vulnerability in the embedded web configuration interface that allows authenticated attackers to execute persistent JavaScript by fragmenting malicious payloads across multiple administrative form fields. Attackers can bypass front-end length restrictions using JavaScript comments and template literals to concatenate executable script fragments that are rendered in administrative dashboard views such as index.zhtml, resulting in persistent script execution within administrative sessions.