Szymon Paszun

**Name of the Vulnerable Software and Affected Versions** Vivotek IP7137 camera versions prior to 0200a **Description** The Vivotek IP7137 camera is affected by an information disclosure issue. Live camera footage can be accessed through the Real Time Streaming Protocol (RTSP) on port 8554 without authentication. This allows unauthorized network users to view the camera feed, potentially compromising privacy and security. The vendor has not responded to reports of this issue, and as the product is in its End-Of-Life phase, a fix is not expected. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Vivotek IP7137 camera versions prior to firmware version 0200a **Description** The Vivotek IP7137 camera, with firmware version 0200a, does not require a password by default when logging in as an administrator. Although setting a password is possible, the user interface does not prompt for one. The vendor has not responded to reports regarding this issue, and a fix is not expected due to the product being in its End-Of-Life phase. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Vivotek IP7137 camera versions prior to firmware version 0200a **Description** The Vivotek IP7137 camera is susceptible to a path traversal issue. An authenticated attacker can potentially access resources outside the intended webroot directory by sending a direct HTTP request. Additionally, the administration panel may not have a default password set, potentially allowing unauthorized access. It is possible that all firmware versions are affected. The product has reached its End-Of-Life phase, and a fix is not anticipated. **Recommendations** Update the firmware to version 0200a or later. Set a strong password for the administration panel. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Vivotek IP7137 camera versions prior to 0200a **Description** The Vivotek IP7137 camera is affected by a command injection issue. The `/cgi-bin/admin/setparam.cgi` API endpoint does not properly sanitize the `system ntpIt` parameter. This allows a user with administrative privileges to execute commands. Administrative access is not protected by default. As the product has reached its End-Of-Life phase, a fix is not expected. **Recommendations** Update the firmware to a version newer than 0200a, if available. As a temporary workaround, restrict access to the `/cgi-bin/admin/setparam.cgi` endpoint. Avoid using the `system ntpIt` parameter in the affected API endpoint until the issue is resolved.

**Nome do Software Vulnerável e Versões Afetadas** Câmeras IP Vilar VS-IPC1002 (versões afetadas não especificadas) **Descrição** As câmeras IP Vilar VS-IPC1002 estão suscetíveis a ataques de Cross-Site Scripting (XSS) Refletido. Isso ocorre porque os parâmetros nas requisições GET enviadas ao endpoint da API `/cgi-bin/action` não são adequadamente sanitizados. Essa falta de sanitização permite que atacantes potencialmente tenham como alvo usuários administradores logados. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Câmeras IP Vilar VS-IPC1002 (versões afetadas não especificadas) **Descrição** As câmeras IP Vilar VS-IPC1002 são suscetíveis a ataques de Negação de Serviço (DoS). Um atacante não autenticado na mesma rede local pode enviar uma requisição manipulada ao endpoint da API `/cgi-bin/action`, fazendo com que o dispositivo pare de responder. É necessário reiniciar manualmente o dispositivo para restaurar a funcionalidade. O fabricante não forneceu uma resposta. **Recomendações** Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Câmeras GALAYOU G2 versão 11.100001.01.28 **Descrição** As câmeras GALAYOU G2 transmitem vídeo via fluxos RTSP. Por padrão, esses fluxos são protegidos por credenciais geradas aleatoriamente, mas essas credenciais não são necessárias para acessar o fluxo. Alterar essas credenciais não modifica o comportamento da câmera. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.