CVE-2026-25775
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Podatność w usłudze zdalnego zarządzania SenseLive X3050 umożliwia pobieranie i aktualizację oprogramowania bez uwierzytelnienia lub autoryzacji. Usługa akceptuje żądania związane z oprogramowaniem z dowolnego dostępnego hosta, nie weryfikując uprawnień użytkownika ani integralności przesyłanych obrazów.
Ocena ryzyka
Brak autoryzacji w operacjach aktualizacji oprogramowania stwarza ryzyko nieautoryzowanego dostępu do systemu, co może prowadzić do wprowadzenia złośliwego oprogramowania lub usunięcia danych.
Rekomendacja
Zaleca się wprowadzenie mechanizmów uwierzytelniania i autoryzacji dla usługi zdalnego zarządzania oraz monitorowanie i ograniczenie dostępu do tej usługi tylko dla zaufanych hostów.
Inne podatności w SenseLive X3050
Zobacz wszystkie- CVE-2026-40431Średnie
Interfejs zarządzania SenseLive X3050 wykorzystuje niezaszyfrowany protokół HTTP do całej komunikacji administracyjnej. Dane uwierzytelniania i konfiguracji przesyłane są jawnym tekstem, co umożliwia ich przechwycenie przez atakującego w tej samej sieci.
- CVE-2026-25720Średnie
Interfejs webowy SenseLive X3050 nie wymusza prawidłowego czasu życia sesji, przez co uwierzytelnione sesje pozostają aktywne przez długi czas bez ponownego uwierzytelnienia. Atakujący z dostępem do wcześniej uwierzytelnionej sesji może nadal korzystać z funkcji administracyjnych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in SenseLive X3050’s remote management service allows firmware retrieval and update operations to be performed without authentication or authorization. The service accepts firmware-related requests from any reachable host and does not verify user privileges, integrity of uploaded images, or the authenticity of provided firmware.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS