PT-2025-52214 · Govee · Govee Devices+1

Jan Adamski + 1 · Publicado 2025-12-18 · Atualizado 2025-12-18 · CVE-2025-10910

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Dispositivos Govee (versões afetadas não especificadas) Govee H6056 - firmware da lâmpada versão 1.08.13

Descrição Uma falha no processo de vinculação da plataforma em nuvem e dos dispositivos da Govee permite que um atacante remoto vincule um dispositivo Govee existente e online à conta do atacante, resultando no controle total do dispositivo e na remoção do dispositivo da conta do proprietário legítimo. A API do lado do servidor permite a associação do dispositivo usando identificadores: device, sku, type e um value calculado pelo cliente, que não estão vinculados criptograficamente a um segredo originado do próprio dispositivo. Isso permite a tomada de controle trivial do dispositivo via manipulação de identificadores.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2025-10910

Produtos afetados

Govee H6056

Govee Devices

Referências · 6

• https://nvd.nist.gov/vuln/detail/CVE-2025-10910 · Nota de Segurança
• https://t.me/CVEtracker/40143 · Publicação no Telegram
• https://cert.pl/en/posts/2025/12/CVE-2025-10910 · Nota
• https://twitter.com/CVEnew/status/2001728081405620445 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2001646864962097427 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2001618626508431699 · Publicação no Twitter