CVE-2026-89410

ŚrednieCVSS 5.1

Opublikowano: 22/10/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 22/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

W Z-Wave SDK w wersji 8.1.1 i wcześniejszych specjalnie spreparowana komenda NCP SPI może wywołać odczyty poza granicami bufora, co prowadzi do wycieku poufnych informacji.

Ocena ryzyka

Atakujący może wykorzystać wyciek danych do pozyskania wrażliwych informacji z pamięci urządzenia, co może ułatwić dalsze ataki na sieć Z-Wave.

Rekomendacja

Zaktualizuj Z-Wave SDK do wersji nowszej niż 8.1.1 i ogranicz możliwość wysyłania nieprawidłowych komend NCP SPI do urządzeń.

Inne podatności w Z-Wave SDK

CVE-2026-89409Średnie
W Z-Wave SDK 8.1.1 i wcześniejszych (dla urządzeń serii 700/800) oraz 6.85.02 i wcześniejszych (dla urządzeń serii 500) brakujące sprawdzenia w obsłudze ZWAVE_CMD_NODES_EXIST mogą spowodować usunięcie węzłów z sieci. Komunikaty muszą pochodzić od urządzenia, które już dołączyło do sieci.

Oryginalny opis (angielski, źródło NVD)

In Z-Wave SDK 8.1.1 and earlier, a malformed NCP SPI command can trigger out-of-bounds reads that leak sensitive information.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS