CVE-2026-49005
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Hash hasła roota urządzenia można uzyskać poprzez niezaszyfrowane informacje w oprogramowaniu układowym.
Ocena ryzyka
Ryzyko obejmuje możliwość uzyskania hasła roota przez atakującego, co może prowadzić do pełnej kontroli nad urządzeniem.
Rekomendacja
Zaleca się zmianę hasła roota na unikalne i silne oraz aktualizację oprogramowania układowego, jeśli dostępna jest poprawka.
Inne podatności w Device firmware
Zobacz wszystkie- CVE-2026-32645Średnie
Domyślne fabryczne dane uwierzytelniające z uprawnieniami administracyjnymi pozostają aktywne i przetrwają nawet po skonfigurowaniu innych kont administratora.
- CVE-2026-27564Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/datastorage/data, wysyłając żądanie PUT z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27563Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/datastorage/data, wysyłając spreparowane żądanie GET z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27562Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/iodd/config, wysyłając spreparowane żądanie PUT z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27561Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/iodd/config, wysyłając spreparowane żądanie GET z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-27560Wysokie
Zdalny atakujący z wysokimi uprawnieniami może wykorzystać podatność na wstrzyknięcie poleceń w punkcie końcowym /api/status/data, wysyłając spreparowane żądanie DELETE z danymi uwierzytelniającymi administratora, co pozwala na wykonanie poleceń z uprawnieniami root na urządzeniu.
- CVE-2026-49008Średnie
Poprzez dostęp do niezaszyfrowanych informacji w oprogramowaniu układowym urządzenia, atakujący może uzyskać poświadczenia związane z weryfikacją integralności określonej funkcji aplikacji na urządzeniu.
- CVE-2026-49007Wysokie
Podatność polegająca na dostępie do niezaszyfrowanych informacji w oprogramowaniu układowym urządzenia, co pozwala atakującemu uzyskać początkowe dane logowania do interfejsu webowego urządzenia.
- CVE-2026-49006Średnie
Poprzez dostęp do niezaszyfrowanych informacji w oprogramowaniu układowym urządzenia, atakujący może uzyskać poświadczenia związane z transmisją TLS.
- CVE-2026-50210Wysokie
Urządzenie szyfruje dane za pomocą AES-CBC ze statycznymi, wypełnionymi zerami wektorami inicjalizacyjnymi (IV), co czyni je podatnym na ataki typu replay i deszyfrowanie znanego tekstu jawnego.
Oryginalny opis (angielski, źródło NVD)
The root password hash of the device can be obtained through unencrypted information in the firmware.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS