CVE-2026-104076

KrytyczneCVSS 9.1

Opublikowano: 08/10/2026(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

Urządzenia TVU Networks Receiver/Transceiver z firmwarem starszym niż 7.9 mają niezabezpieczone endpointy REST API, które nie wymagają uwierzytelnienia. Zdalny atakujący może odczytać informacje o konfiguracji sieci, firmware i usługach chmurowych, a także zmodyfikować ustawienia urządzenia, np. DNS.

Ocena ryzyka

Atakujący może zmienić ustawienia DNS i przeprowadzić atak man-in-the-middle na połączenia wychodzące do infrastruktury chmurowej TVU, co może prowadzić do przechwycenia lub modyfikacji przesyłanych danych.

Rekomendacja

Zaktualizuj firmware urządzeń TVU Networks Receiver/Transceiver do wersji 7.9 lub nowszej. Do czasu aktualizacji ogranicz dostęp sieciowy do interfejsu REST API urządzeń.

Inne podatności w TVU Networks Receiver/Transceiver

CVE-2026-104075Krytyczne
Urządzenia TVU Networks Receiver/Transceiver z oprogramowaniem sprzętowym przed wersją 7.9 mają podatność na obejście uwierzytelniania w punkcie logowania POST /tvu/Login. Wysłanie żądania z pustym lub nieobecnym parametrem UserName pozwala uzyskać ważną sesję administracyjną bez znajomości hasła, omijając walidację po stronie klienta.

Oryginalny opis (angielski, źródło NVD)

TVU Networks Receiver/Transceiver devices running firmware before version 7.9 contain a missing authentication vulnerability that allows remote unauthenticated attackers to read sensitive device information and modify device configuration via unprotected REST API endpoints. Attackers can send unauthenticated GET requests to disclose network configuration, firmware details, and cloud service information, or issue POST requests to endpoints such as /Setting3/API/API/v1/LocalNetwork/DNS to alter DNS settings and enable man-in-the-middle attacks on outbound connections to TVU cloud infrastructure.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS