Sammy Azdoufal

O endpoint de upload de habilidades de IA, fornecido pelos serviços de inferência e perfilamento de IA do FastAPI, não exige autenticação e não restringe os caminhos dos arquivos carregados. Isso permite que um invasor remoto não autenticado realize path traversal—um método de acessar arquivos e diretórios armazenados fora da pasta raiz da web—para gravar arquivos arbitrários e adulterar os arquivos de habilidades de IA usados pelos robôs.

The EnergizeLab AI Station (RK3562) firmware image ships with default root credentials and SSH enabled. An attacker with network access to the device can log in as root and take full control of it.

The EnergizeLab Eilik NestJS auth service issues device tokens for arbitrary robot serial numbers without authentication. An unauthenticated remote attacker can obtain a valid device token for any serial number and act as that device against the cloud services.

The EnergizeLab FirmwareUpdater (AArch64 ELF, distributed in the CDN bin.zip) uses a single hard-coded AES key shared by all installations. An attacker who recovers the key from the updater can decrypt and forge firmware packages for any device that trusts it.

EnergizeLab AI Station firmware, EilikO Linux robot firmware v2.1 20260617182218 release, and the EnergizeLab Windows desktop app 3.1.2 download firmware updates over plain HTTP and do not verify their integrity or authenticity. An attacker able to intercept or modify the traffic can substitute a malicious update.

Contas registradas com baixos privilégios podem ler arquivos arbitrários do servidor ao fornecer um caminho de arquivo controlado. Este problema permite o acesso não autorizado a arquivos de middleware e segredos do servidor.

Os serviços de inferência e perfilamento de IA do FastAPI não possuem autenticação para funções de administração de modelos de IA. Isso permite que um invasor remoto não autenticado modifique a configuração do modelo de IA e altere o modelo ativo durante a execução.

Verificações de autorização insuficientes em APIs administrativas permitem que usuários autenticados com baixos privilégios realizem ações não autorizadas. Isso inclui a capacidade de recuperar chaves de provedores de IA e alterar configurações do sistema e conteúdos do object-store.

The EnergizeLab Eilik NestJS auth service accepts a user-controlled user ID in account update requests (mass assignment). A registered user can set another account's identifier and take over that account.

O Aqara Home Android (com.lumiunited.aqarahome) e clientes white-label que incorporam a biblioteca `liblumidevsdk.so` utilizam chaves criptográficas codificadas rigidamente (hard-coded). Isso ocorre quando um desenvolvedor insere uma chave secreta diretamente no código-fonte, a qual pode ser extraída por um invasor para descriptografar dados sensíveis ou se autenticar como uma entidade legítima.

O gateway IAM/SSO em 'gw-builder.aqara.com' expõe um oráculo AES não autenticado, permitindo round-trips AES bidirecionais contra a chave de assinatura da plataforma. Isso ocorre devido à ausência de autenticação para uma função crítica e ao uso de um algoritmo criptográfico quebrado ou arriscado.

O gateway Aqara IAM/SSO em 'gw-builder.aqara.com' contém um problema de compartilhamento de recursos de origem cruzada. Trata-se de uma política de domínio cruzado permissiva com domínios não confiáveis, o que permite que um site faça requisições para um domínio diferente daquele que serviu a página original.

O Aqara Developer Portal (developer.aqara.com) e os ambientes de teste compartilhados (developer-test.aqara.com, aiot-test.aqara.com) apresentam compartilhamento de requisições de origem cruzada permissivo. Isso é uma instância de uma política de domínio cruzado permissiva com domínios não confiáveis, o que permite que requisições de origens não autorizadas acessem recursos.

O Aqara IAM/SSO Gateway em 'gw-builder.aqara.com' contém um redirecionamento aberto. Este problema permite que o sistema redirecione usuários para sites externos não confiáveis, o que pode ser utilizado para facilitar ataques de phishing.

O endpoint de autorização OAuth "open-cn.aqara.com/oauth/authorize" está sujeito a um bypass de redirecionamento causado por uma validação inadequada de equivalência insegura na entrada. Esta falha permite a evasão da correspondência de domínio, o que pode ser utilizado para facilitar ataques de phishing e roubo de sessão.

🚨 CVE-2026-50082 The Aqara Cloud Developer Portal (developer.aqara.com) issued a developer token to any email address supplied by the attacker. This is an instance of "CWE-306: Missing Authentication for Critical Function" with an estimated CVSS of CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N (6.5 Medium). When combined with CVE-2026-50083, CVE-2026-50084, and CVE-2026-50085, any otherwise-unauthenticated attacker could execute a full takeover of affected devices. 🎖@cveNotify

O Aqara IAM/SSO Gateway no endpoint 'gw-builder.aqara.com' utiliza uma credencial de cliente OAuth hardcoded. Esta falha pode ser combinada com outros problemas para permitir a tomada de controle remoto total e não autenticada de dispositivos afetados.

A API de Produção da Nuvem Aqara no endpoint 'open-cn.aqara.com/v3.0/open/api' falha ao autorizar solicitações adequadamente, permitindo que qualquer token de desenvolvedor válido acesse qualquer conta. Esta falta de autorização pode ser combinada com outros problemas para permitir a tomada de controle remoto total e não autenticada de dispositivos afetados.

O serviço Aqara Board no endpoint "op-test.aqara.com" aceita payloads de comando MQTT arbitrários e os encaminha para o broker HiveMQ da plataforma sem autenticação. Esta ausência de autenticação para uma função crítica permite a injeção de comandos MQTT não autenticados. Quando combinado com outras falhas, isso pode levar ao controle remoto total dos dispositivos afetados.

Aplicações cliente Meari que incorporam o "com.meari.sdk" possuem uma falha de autorização no lado do servidor. Um invasor pode abusar do caminho de chamada integrado para 'openapi-euce.mearicloud.com' para recuperar o endereço IP WAN de dispositivos arbitrários usando seus números de série. Isso é possível porque o endpoint 'GET /openapi/device/status' não requer autenticação de usuário e utiliza uma chave de assinatura codificada (hardcoded) presente em todas as aplicações baseadas em Meari distribuídas ao público. Este problema é uma Referência Direta a Objeto Insegura (IDOR), que ocorre quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário.