PT-2026-48886 · Yarbo · Yarbo Cloud
Markus Lassfolk
·
Publicado
2026-06-12
·
Atualizado
2026-06-13
·
CVE-2026-7368
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
Yarbo cloud (versões afetadas não especificadas)
Descrição
O serviço de nuvem não aplica a autorização por dispositivo ou por usuário. Um cliente com credenciais válidas, incluindo credenciais fixas (hard-coded) compartilhadas ou credenciais legítimas de usuário, pode se inscrever em tópicos de curinga (wildcard) que abrangem todos os robôs globalmente. Além disso, um invasor pode publicar no tópico de comando de qualquer robô utilizando o número de série do dispositivo, que é revelado no fluxo de telemetria. Essa ausência de controles de acesso por dispositivo permite que uma única credencial comprometida forneça acesso a toda a frota.
Recomendações
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Yarbo Cloud