CVE-2026-111654
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
FastBee do wersji 2.1.0 zawiera podatność typu insecure direct object reference (IDOR), która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na dostęp do grup urządzeń innych użytkowników, ponieważ zapytania GroupController nie zawierają kontroli właściciela. Atakujący, w tym samodzielnie zarejestrowani użytkownicy, mogą podawać sekwencyjne identyfikatory grup, aby odczytywać, nadpisywać, przypisywać ponownie, przepisywać powiązania urządzeń lub usuwać grupy innych użytkowników.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do nieautoryzowanego dostępu i modyfikacji grup urządzeń innych użytkowników, co może prowadzić do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Zaktualizuj FastBee do wersji nowszej niż 2.1.0, jeśli jest dostępna, lub wdróż kontrole właściciela w zapytaniach GroupController, aby zweryfikować uprawnienia użytkownika.
Inne podatności w FastBee
Zobacz wszystkie- CVE-2026-120274Średnie
Wykryto podatność w beecue FastBee do wersji 2.1.0. Nieznana funkcjonalność pliku /iot/script w komponencie Groovy Script Executor pozwala na wstrzyknięcie kodu. Atak można przeprowadzić zdalnie, a poprawka jest dostępna pod identyfikatorem 890a33846005a937a58cccd738b7fb9821b82ea9.
- CVE-2026-110124Wysokie
FastBee do wersji 2.1.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu w DeviceController, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na odczyt i modyfikację urządzeń innych dzierżawców poprzez podanie sekwencyjnych identyfikatorów urządzeń.
- CVE-2026-7677Niskie
W kerwincui FastBee do wersji 1.2.1 wykryto podatność w funkcji Add w pliku SysNoticeController.java komponentu System Notice Handler. Manipulacja argumentem noticeContent prowadzi do cross-site scripting (XSS). Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-7676Średnie
W kerwincui FastBee do wersji 1.2.1 funkcja ToolController.download w pliku ToolController.java komponentu Tool Download Endpoint, przy manipulacji argumentem fileName, prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
FastBee through 2.1.0 contains an insecure direct object reference vulnerability that allows authenticated low-privilege users to access other users' device groups because GroupController queries lack owner checks. Attackers, including self-registered users, can supply sequential group IDs to read, overwrite, reassign, rewrite device associations of, or delete other users' groups.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS