PT-2026-146032

CVE-2026-124012

Publicado

2026-11-12

Atualizado

2026-11-12

Descrição por

CVSS 3.1

8.1

Alta

MétricasAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas XWEB EVO versões 5.6.2 through 5.8.8

Description A conta web do Administrador está configurada para usar o password mode daily password sem uma senha armazenada. Isso ocorre porque a função authenticate() em lualib users.lua sintetiza a configuração do Administrador sem validar qualquer segredo armazenado. Um invasor que consiga derivar a senha diária baseada no MAC pode se autenticar como Administrador para obter uma sessão administrativa completa no dispositivo.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Explorabilidade

Exploit

Impactos

Pesquisadores

Valentin Lobstein

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-798: Use of Hard-coded Credentials

Identificadores relacionados

CVE-2026-124012