PT-2026-140960
CVE-2026-70555
·
تاريخ النشر
2026-11-09
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
rConfig Core الإصدارات من 8.2.3 إلى 8.2.12
الوصف
يمكن للمستخدمين المصرح لهم استرداد كلمات مرور SSH وTelnet وenable بنص واضح للأجهزة المدارة. يحدث هذا بسبب قيام النظام بفك التشفير التلقائي عند القراءة وافتقاره إلى فحوصات تفويض مناسبة. يمكن للمهاجم استخراج جميع بيانات اعتماد الأجهزة المخزنة بنص واضح عن طريق إرسال طلبات إلى نقاط نهاية واجهة برمجة التطبيقات (API) التالية: '/api/device-credentials' و '/api/device-credentials/{id}' و '/api/v1/device-credentials'. يقوم النظام بتوثيق أي رمز صالح بشكل خاطئ على أنه حساب المسؤول الأساسي.
التوصيات
تحديث rConfig Core إلى الإصدار 8.2.13 أو إصدار أحدث.
تقييد الوصول إلى نقاط نهاية واجهة برمجة التطبيقات '/api/device-credentials' و '/api/device-credentials/{id}' و '/api/v1/device-credentials' لتقليل مخاطر الاستغلال.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾