CVE-2026-103903

Nome do Software Vulnerável e Versões Afetadas MikroTik RouterOS (versões afetadas não especificadas)

Description Um problema de autorização incorreta existe no fluxo de autenticação do WinBox. Um invasor remoto autenticado com credenciais de baixo privilégio pode obter a política de autorização de outra conta. Isso ocorre porque o desafio e a prova EC-SRP (Elliptic Curve Secure Remote Password) do estágio um são verificados usando a conta do invasor, mas o nome de usuário do estágio dois é usado para instalar os privilégios da conta alvo. Ao especificar uma conta de alto privilégio, como admin, um usuário de baixo privilégio pode estabelecer uma sessão administrativa completa sem a senha do alvo e, subsequentemente, elevar os privilégios de sua própria conta.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Revise as contas de baixo privilégio para minimizar o risco potencial.