Xiiaozet LK100W

Tradução automática do conteúdo disponibilizado no feed de CISA. Original: https://www.cisa.gov/news-events/ics-advisories/icsa-26-239-01

Ver resumo CSAF

A exploração bem-sucedida dessas vulnerabilidades poderia permitir que um atacante assumisse o controle do dispositivo. O Xiiaozet LK100W é afetado por injeção de comandos OS, ausência de autenticação para função crítica e bypass de autenticação por caminho ou canal alternativo.

CVE-2026-78037
O Xiiaozet LK100W é vulnerável a injeção de comandos OS por meio da interface de gerenciamento baseada na web. Um atacante autenticado pode conseguir executar comandos arbitrários do sistema operacional com privilégios elevados, potencialmente resultando em acesso não autorizado a informações sensíveis ou no comprometimento completo do dispositivo.

CVE-2026-78239
O Xiiaozet LK100W expõe uma função crítica de gerenciamento que pode ser invocada sem autenticação, permitindo que um atacante remoto habilite serviços administrativos que deveriam ser restritos. A exploração bem-sucedida pode permitir acesso não autorizado ao dispositivo.

CVE-2026-76943
O Xiiaozet LK100W contém uma fraqueza de autenticação em um serviço administrativo que pode permitir que um atacante contorne os controles de acesso previstos e obtenha recursos de execução de comandos. A exploração bem-sucedida poderia permitir interação não autorizada com funcionalidades privilegiadas e levar ao comprometimento completo do dispositivo.

A Xiiaozet recomenda que os usuários atualizem para v2.1.240.

CVSS 3.1: 8.8, ALTO; 9.8, CRÍTICO; 9.8, CRÍTICO.
CVSS 4.0: 8.7, ALTO; 9.3, CRÍTICO; 9.3, CRÍTICO.

A CISA recomenda minimizar a exposição de rede, manter dispositivos de controle atrás de firewalls e isolá-los de redes corporativas. Não há exploração pública conhecida especificamente direcionada a essas vulnerabilidades reportada à CISA até o momento.