CVE-2026-26367

Nome do Software Vulnerável e Versões Afetadas Servidor eNet SMART HOME versões 2.2.1 a 2.3.1

Descrição O software do servidor eNet SMART HOME possui uma falha na qual as verificações de autorização estão ausentes no método JSON-RPC deleteUserAccount. Isso permite que um usuário padrão autenticado (UG USER) remova outras contas de usuário, com exceção da conta de administrador integrada. A aplicação não implementa o controle de acesso baseado em funções para esta funcionalidade. Um atacante pode enviar uma requisição POST especialmente elaborada ao endpoint da API /jsonrpc/management, especificando um username a ser excluído, sem necessitar de privilégios elevados ou confirmação adicional. O parâmetro vulnerável é username.

Recomendações Servidor eNet SMART HOME versão 2.2.1: Implementar o controle de acesso baseado em funções adequado para a função deleteUserAccount. Servidor eNet SMART HOME versão 2.3.1: Implementar o controle de acesso baseado em funções adequado para a função deleteUserAccount.