PT-2026-8251
CVE-2026-26367
·
تاريخ النشر
2026-02-15
·
تاريخ التحديث
2026-02-15
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
خادم eNet SMART HOME، الإصدارات من 2.2.1 إلى 2.3.1
الوصف
يحتوي برنامج خادم eNet SMART HOME على ثغرة تتمثل في عدم وجود عمليات التحقق من التفويض في طريقة JSON-RPC
deleteUserAccount. وهذا يسمح لمستخدم عادي تمت مصادقته (UG USER) بحذف حسابات مستخدمين أخرى، باستثناء حساب المسؤول المدمج. لا يطبق التطبيق التحكم في الوصول القائم على الأدوار لهذه الوظيفة. يمكن للمهاجم إرسال طلب POST مصمم خصيصًا إلى نقطة نهاية واجهة برمجة التطبيقات (API) /jsonrpc/management، مع تحديد username المراد حذفه، دون الحاجة إلى امتيازات عالية أو تأكيد إضافي. المعلمة المعرضة للخطر هي username.التوصيات
خادم eNet SMART HOME الإصدار 2.2.1: تنفيذ التحكم في الوصول القائم على الأدوار بشكل مناسب لوظيفة
deleteUserAccount.خادم eNet SMART HOME الإصدار 2.3.1: تنفيذ التحكم في الوصول القائم على الأدوار بشكل مناسب لوظيفة
deleteUserAccount.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾