CVE-2026-105815

WysokieCVSS 7.1

Opublikowano: 19/10/2026(UTC)Zaktualizowano: 20/10/2026(UTC)Przetłumaczono: 20/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Urządzenie TP-Link Tapo C210 V3.60 może ujawniać wspólne dane uwierzytelniające i metadane kryptograficzne poprzez nieuwierzytelnione żądania DS JSON API. Ujawnione wspólne dane uwierzytelniające mogą zostać zaakceptowane przez mechanizm uwierzytelniania Streamd Digest jako hasło administracyjne, umożliwiając nieuwierzytelnionemu atakującemu z sąsiedniej sieci ustanowienie szyfrowanych sesji multimedialnych bez znajomości hasła do konta urządzenia.

Ocena ryzyka

Może to doprowadzić do ujawnienia danych uwierzytelniających i materiału kryptograficznego oraz nieautoryzowanego dostępu do szyfrowanych sesji multimedialnych. Stanowi to poważne ryzyko dla poufności i integralności transmisji.

Rekomendacja

Zaktualizuj oprogramowanie układowe urządzenia do najnowszej wersji. Ogranicz dostęp do interfejsu API z niezaufanych sieci i monitoruj nietypowe sesje.

Inne podatności w TP-Link Tapo C210

CVE-2026-105814Średnie
TP-Link Tapo C210 V3.60 zawiera podatność na obejście uwierzytelniania w interfejsie DS JSON API. Spreparowane żądanie JSON zawierające zarówno chronioną operację, jak i publiczne pola związane z onboardingiem może powodować niespójne stosowanie kontroli autoryzacji na poziomie modułu, umożliwiając wykonanie chronionych operacji kamery bez ważnej sesji.

Oryginalny opis (angielski, źródło NVD)

TP-Link Tapo C210 V3.60 may expose shared credential material and cryptographic metadata through unauthenticated DS JSON API requests. The exposed shared credential can be accepted by the Streamd Digest authentication mechanism as an administrative password, allowing an unauthenticated adjacent-network attacker to establish encrypted media sessions without knowledge of the device account password. Successful exploitation may disclose credential and cryptographic material and allow unauthorized access to encrypted media sessions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS