The listed versions of Nexx Smart Home devices lack proper access control when executing actions.

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• getnexx nxal-100 firmwareдо nxal100v-p1-9-1 включительно
• getnexx nxg-100b firmwareдо nxg100bv-p3-4-1 включительно
• getnexx nxg-200 firmwareдо nxg200v-p3-4-1 включительно
• getnexx nxpg-100w firmwareдо nxpg100cv4-0-0 включительно

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (icscert). Не зависят от анализа CPE в NVD и обычно опережают его.

• Nexx Garage Door Controller NXG-100B, NXG-200

  • до nxg200v-p3-4-1 включительнозатронута

• Nexx Smart Alarm NXAL-100

  • до nxal100v-p1-9-1 включительнозатронута

• Nexx Smart Plug NXPG-100W

  • до nxpg100cv4-0-0 включительнозатронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2023-1748The listed versions of Nexx Smart Home devices use hard-coded credentials.
  40В плане
• CVE-2023-1750The listed versions of Nexx Smart Home devices lack proper access control when executing actions.
  28Наблюдать
• CVE-2023-1751The listed versions of Nexx Smart Home devices use a WebSocket server that does not validate if the bearer token in the Authorization header
  21Наблюдать
• CVE-2023-1752The listed versions of Nexx Smart Home devices could allow any user to register an already registered alarm or associated device with only t
  17Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.