PT-2025-50543 · Aqara · Aqara Hub M3+2

Chapoly1305 · Publicado 2025-12-10 · Atualizado 2025-12-14 · CVE-2025-65294

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Aqara Hub Camera Hub G3 versão 4.1.9 0027 Aqara Hub M2 versão 4.3.6 0027 Aqara Hub M3 versão 4.3.6 0025

Descrição Dispositivos Aqara Hub possuem um mecanismo de acesso remoto não documentado que permite a execução remota de comandos sem restrições.

Recomendações Até o momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2025-65294

Produtos afetados

Aqara Camera Hub G3

Aqara Hub M2

Aqara Hub M3

Referências · 5

• 🔥 https://github.com/Chapoly1305/myCVEReports/blob/main/Aqara/QR-Command-Injection.md · Exploit
• 🔥 https://github.com/Chapoly1305/myCVEReports/blob/main/Aqara/Undocumented-Remote-Execution.md · Exploit
• https://twitter.com/CVEnew/status/2000248659980812468 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-65294 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-65294 · Nota de Segurança