A malicious actor with access to the management network could exploit a misconfiguration in UniFi’s door access application, UniFi Access, t

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• ui unifi access3.3.22 и новее · до 4.0.21

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (hackerone). Не зависят от анализа CPE в NVD и обычно опережают его.

• Ubiquiti Inc UniFi Access Application

  • 3.3.22 и новее · до 3.4.31 включительнозатронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-50748A malicious actor with access to the network and low privileges could exploit an Improper Input Validation vulnerability found in UniFi Acce
  39Наблюдать
• CVE-2026-54400A malicious actor with access to the network and high privileges could exploit an Improper Access Control vulnerability found in UniFi Acces
  36Наблюдать
• CVE-2026-55117A malicious actor with access to the network could exploit a Path Traversal vulnerability found in UniFi Access Application to access files
  34Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Функция, добавленная для разработки или поддержки, попадает в продуктивную среду без аутентификации. Нередко расчёт делается на то, что она «доступна только из внутренней сети».

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1// Добавлено для службы поддержки2app.post("/maintenance/reset", resetDevice);

1if (config.maintenanceEnabled) {2  app.post(3    "/maintenance/reset",4    requireSession, requireRole("admin"), resetDevice5  );6}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.