PT-2026-8252

CVE-2026-26368

Publicado

2026-02-15

Atualizado

2026-02-28

Descrição por

CVSS 3.1

8.8

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Servidor eNet SMART HOME versões 2.2.1 e 2.3.1

Descrição O software contém uma falha de autorização no método JSON-RPC resetUserPassword. Um usuário autenticado com baixos privilégios (UG USER) pode redefinir as senhas de qualquer conta, incluindo aquelas com privilégios UG ADMIN e UG SUPER ADMIN, sem conhecer a senha atual. Isso é realizado enviando uma requisição JSON-RPC especialmente elaborada ao endpoint da API /jsonrpc/management. A exploração bem-sucedida permite que um atacante sobrescreva credenciais existentes, resultando na tomada de controle da conta e acesso administrativo completo com escalonamento persistente de privilégios.

Recomendações Atualize o servidor eNet SMART HOME para uma versão superior à 2.3.1.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Gjoko Krstic

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization

Identificadores relacionados