Sammy Azdoufal

**Nome do Software Vulnerável e Versões Afetadas** Aqara Home Android versão 6.0.0 **Description** O Aqara Home Android (com.lumiunited.aqarahome) e clientes white-label que incorporam a biblioteca `liblumidevsdk.so` utilizam chaves criptográficas codificadas rigidamente (hard-coded). Isso ocorre quando um desenvolvedor insere uma chave secreta diretamente no código-fonte, a qual pode ser extraída por um invasor para descriptografar dados sensíveis ou se autenticar como uma entidade legítima. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Aqara IAM/SSO gateway (versões afetadas não especificadas) **Descrição** O gateway IAM/SSO em 'gw-builder.aqara.com' expõe um oráculo AES não autenticado, permitindo round-trips AES bidirecionais contra a chave de assinatura da plataforma. Isso ocorre devido à ausência de autenticação para uma função crítica e ao uso de um algoritmo criptográfico quebrado ou arriscado. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Aqara IAM/SSO gateway (versões afetadas não especificadas) **Description** O gateway Aqara IAM/SSO em 'gw-builder.aqara.com' contém um problema de compartilhamento de recursos de origem cruzada. Trata-se de uma política de domínio cruzado permissiva com domínios não confiáveis, o que permite que um site faça requisições para um domínio diferente daquele que serviu a página original. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Aqara Developer Portal (versões afetadas não especificadas) **Description** O Aqara Developer Portal (developer.aqara.com) e os ambientes de teste compartilhados (developer-test.aqara.com, aiot-test.aqara.com) apresentam compartilhamento de requisições de origem cruzada permissivo. Isso é uma instância de uma política de domínio cruzado permissiva com domínios não confiáveis, o que permite que requisições de origens não autorizadas acessem recursos. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Aqara IAM/SSO Gateway (versões afetadas não especificadas) **Description** O Aqara IAM/SSO Gateway em 'gw-builder.aqara.com' contém um redirecionamento aberto. Este problema permite que o sistema redirecione usuários para sites externos não confiáveis, o que pode ser utilizado para facilitar ataques de phishing. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Aqara Cloud (versões afetadas não especificadas) **Description** O endpoint de autorização OAuth "open-cn.aqara.com/oauth/authorize" está sujeito a um bypass de redirecionamento causado por uma validação inadequada de equivalência insegura na entrada. Esta falha permite a evasão da correspondência de domínio, o que pode ser utilizado para facilitar ataques de phishing e roubo de sessão. **Recommendations** Desative a integração OAuth até que uma correção esteja disponível.

🚨 CVE-2026-50082 The Aqara Cloud Developer Portal (developer.aqara.com) issued a developer token to any email address supplied by the attacker. This is an instance of "CWE-306: Missing Authentication for Critical Function" with an estimated CVSS of CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N (6.5 Medium). When combined with CVE-2026-50083, CVE-2026-50084, and CVE-2026-50085, any otherwise-unauthenticated attacker could execute a full takeover of affected devices. 🎖@cveNotify

The Aqara IAM/SSO Gateway (gw-builder.aqara.com) used a hardcoded OAuth client credential, which is an instance of "CWE-798: Use of Hard-coded Credentials." This issue has an estimated CVSS of CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N (9.1 Critical). When combined with CVE-2026-50082, CVE-50084, and CVE-50085, this can lead to a fully unauthenticated, remote takeover of affected devices.

The Aqara Cloud Production API (open-cn.aqara.com/v3.0/open/api) would authorize any valid developer token for access to any account. This is an instance of "CWE-862: Missing Authorization" with an estimated CVSS of CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N (9.6 Critical). When combined with CVE-2026-50082, CVE-50083, and CVE-50085, this can lead to a fully unauthenticated, remote takeover of affected devices.

**Nome do Software Vulnerável e Versões Afetadas** Aqara Board service (versões afetadas não especificadas) **Descrição** O serviço Aqara Board no endpoint "op-test.aqara.com" aceita payloads de comando MQTT arbitrários e os encaminha para o broker HiveMQ da plataforma sem autenticação. Esta ausência de autenticação para uma função crítica permite a injeção de comandos MQTT não autenticados. Quando combinado com outras falhas, isso pode levar ao controle remoto total dos dispositivos afetados. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Monitore e isole os sistemas afetados.

**Nome do Software Vulnerável e Versões Afetadas** CloudEdge versão 5.5.0 build 220 Arenti versão 1.8.1 build 220 Aplicações white-label baseadas em Meari versões 1.8.x e anteriores **Descrição** Aplicações cliente Meari que incorporam o "com.meari.sdk" possuem uma falha de autorização no lado do servidor. Um invasor pode abusar do caminho de chamada integrado para 'openapi-euce.mearicloud.com' para recuperar o endereço IP WAN de dispositivos arbitrários usando seus números de série. Isso é possível porque o endpoint 'GET /openapi/device/status' não requer autenticação de usuário e utiliza uma chave de assinatura codificada (hardcoded) presente em todas as aplicações baseadas em Meari distribuídas ao público. Este problema é uma Referência Direta a Objeto Insegura (IDOR), que ocorre quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Meari IoT Cloud (versões afetadas não especificadas) **Descrição** Instantâneos de movimento armazenados no Alibaba OSS podem ser recuperados sem autenticação, URLs assinadas ou imposição de expiração. O sistema faz o upload de imagens JPEG para o serviço de armazenamento quando o movimento é detectado e transmite a URL via fluxo MQTT. Essas URLs funcionam como referências diretas de objetos e permanecem válidas indefinidamente, permitindo que qualquer pessoa acesse as imagens. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** CloudEdge versão 5.5.0 (build 220) Arenti versão 1.8.1 (build 220) White-label apps versões 1.8.x e anteriores **Descrição** No processamento de imagens do Meari IoT SDK dentro da biblioteca `libmrplayer.so`, imagens de babás eletrônicas que utilizam a extensão ".jpgx3" são protegidas por uma operação XOR reversível. Esta operação afeta apenas os primeiros 1024 bytes do arquivo JPEG e utiliza um modelo de derivação de chave previsível baseado no hash MD5 do número de série do dispositivo, o comprimento do serial e um segredo. O número de série é transmitido na mesma mensagem MQTT, facilitando a descriptografia das imagens. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** CloudEdge versão 5.5.0 (build 220) Arenti versão 1.8.1 (build 220) White-label Android apps versões 1.x e anteriores **Descrição** As compilações do Meari IoT SDK contêm múltiplos segredos críticos de segurança que estão hardcoded e são compartilhados em todo o ecossistema. Isso inclui material de assinatura de API, chaves de transporte de senha e chaves de acesso ao serviço. Especificamente, cada aplicativo baseado em Meari utiliza o mesmo segredo HMAC (uma chave usada para Códigos de Autenticação de Mensagem baseados em Hash para verificar a integridade dos dados), a mesma chave DES (Data Encryption Standard) para senhas, a mesma chave OpenAPI e a mesma senha P2P. Essas chaves não podem ser rotacionadas sem a necessidade de reinstalar o firmware (re-flashing) de cada dispositivo em campo. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** EMQX versões 4.x **Descrição** Em implantações do Meari IoT Cloud MQTT Broker, uma conta autenticada de baixo privilégio pode se inscrever em tópicos de curinga globais, como `meari/#`, permitindo que o usuário receba telemetria de dispositivos que não lhe pertencem. Embora o broker aplique Listas de Controle de Acesso (ACLs) de publicação, ele não aplica a autorização de inscrição equivalente no escopo por dispositivo. Em um teste real em um único broker, isso permitiu a captura de 14.204 mensagens de 2.117 dispositivos. **Recomendações** Atualize as versões 4.x do EMQX para uma versão onde a autorização de inscrição seja devidamente aplicada no escopo por dispositivo.