CVE-2026-110124
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
FastBee do wersji 2.1.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu w DeviceController, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na odczyt i modyfikację urządzeń innych dzierżawców poprzez podanie sekwencyjnych identyfikatorów urządzeń.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych urządzeń (właściciel, IP, lokalizacja) oraz możliwość przejęcia urządzeń przez nadpisanie user_id i tenant_id, co może prowadzić do naruszenia integralności i poufności.
Rekomendacja
Zaleca się aktualizację FastBee do wersji zawierającej poprawkę oraz wdrożenie kontroli dostępu opartej na autoryzacji dla operacji na urządzeniach.
Inne podatności w FastBee
Zobacz wszystkie- CVE-2026-120274Średnie
Wykryto podatność w beecue FastBee do wersji 2.1.0. Nieznana funkcjonalność pliku /iot/script w komponencie Groovy Script Executor pozwala na wstrzyknięcie kodu. Atak można przeprowadzić zdalnie, a poprawka jest dostępna pod identyfikatorem 890a33846005a937a58cccd738b7fb9821b82ea9.
- CVE-2026-111654Średnie
FastBee do wersji 2.1.0 zawiera podatność typu insecure direct object reference (IDOR), która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na dostęp do grup urządzeń innych użytkowników, ponieważ zapytania GroupController nie zawierają kontroli właściciela. Atakujący, w tym samodzielnie zarejestrowani użytkownicy, mogą podawać sekwencyjne identyfikatory grup, aby odczytywać, nadpisywać, przypisywać ponownie, przepisywać powiązania urządzeń lub usuwać grupy innych użytkowników.
- CVE-2026-7677Niskie
W kerwincui FastBee do wersji 1.2.1 wykryto podatność w funkcji Add w pliku SysNoticeController.java komponentu System Notice Handler. Manipulacja argumentem noticeContent prowadzi do cross-site scripting (XSS). Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-7676Średnie
W kerwincui FastBee do wersji 1.2.1 funkcja ToolController.download w pliku ToolController.java komponentu Tool Download Endpoint, przy manipulacji argumentem fileName, prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
FastBee through 2.1.0 contains an insecure direct object reference vulnerability in DeviceController that allows authenticated low-privilege users to read and modify other tenants' devices by supplying sequential device IDs. Self-registered attackers can enumerate deviceId or serialNumber values to read owner, IP, and location data, and overwrite user_id and tenant_id to take over devices.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS