Marek Janiszewski

**Nome do Software Vulnerável e Versões Afetadas** Dispositivos Govee (versões afetadas não especificadas) Govee H6056 - firmware da lâmpada versão 1.08.13 **Descrição** Uma falha no processo de vinculação da plataforma em nuvem e dos dispositivos da Govee permite que um atacante remoto vincule um dispositivo Govee existente e online à conta do atacante, resultando no controle total do dispositivo e na remoção do dispositivo da conta do proprietário legítimo. A API do lado do servidor permite a associação do dispositivo usando identificadores: `device`, `sku`, `type` e um `value` calculado pelo cliente, que não estão vinculados criptograficamente a um segredo originado do próprio dispositivo. Isso permite a tomada de controle trivial do dispositivo via manipulação de identificadores. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do Govee Home anteriores à 5.9 **Descrição** O problema está relacionado a uma vulnerabilidade de autorização incorreta no método HTTP POST do aplicativo Govee Home para Android e iOS. Isso permite que um invasor remoto controle dispositivos pertencentes a outros usuários alterando os valores dos campos `device`, `sku` e `type`. **Recomendações** Para versões anteriores à 5.9, atualize para a versão 5.9 para mitigar o risco. Como solução temporária, considere restringir o acesso ao método HTTP POST até que a atualização seja aplicada. Evite usar os campos `device`, `sku` e `type` no endpoint da API afetado até que o problema seja resolvido.