ثغرات في أجهزة F&F Filipowski mH-DEVELOPER
CVE ID
CVE-2026-82928
تاريخ النشر
28 سبتمبر 2026
البائع
F&F Filipowski
المنتج
mH-DEVELOPER
الإصدارات المعرضة للخطر
جميع الإصدارات قبل 3.0.30
نوع الثغرة (CWE)
إدراج ميزات غير موثقة أو Bits دجاج (CWE-1242)
مصدر التقرير
تقرير إلى CERT Polska
CVE ID
CVE-2026-82929
تاريخ النشر
28 سبتمبر 2026
البائع
F&F Filipowski
المنتج
mH-DEVELOPER
الإصدارات المعرضة للخطر
جميع الإصدارات قبل 3.0.30
نوع الثغرة (CWE)
استخدام مفتاح تشفير مشفر مسبقًا (CWE-321)
مصدر التقرير
تقرير إلى CERT Polska
CVE ID
CVE-2026-82930
تاريخ النشر
28 سبتمبر 2026
البائع
F&F Filipowski
المنتج
mH-DEVELOPER
الإصدارات المعرضة للخطر
جميع الإصدارات قبل 3.0.30
نوع الثغرة (CWE)
عدم وجود مصادقة لوظيفة حرجة (CWE-306)
مصدر التقرير
تقرير إلى CERT Polska
CVE ID
CVE-2026-82932
تاريخ النشر
28 سبتمبر 2026
البائع
F&F Filipowski
المنتج
mH-DEVELOPER
الإصدارات المعرضة للخطر
جميع الإصدارات قبل 3.0.30
نوع الثغرة (CWE)
تقييد غير صحيح لقناة الاتصال إلى النقاط النهائية المقصودة (CWE-923)
مصدر التقرير
تقرير إلى CERT Polska
CVE ID
CVE-2026-82933
تاريخ النشر
28 سبتمبر 2026
البائع
F&F Filipowski
المنتج
mH-DEVELOPER
الإصدارات المعرضة للخطر
جميع الإصدارات قبل 3.0.30
نوع الثغرة (CWE)
الاعتماد على HTTP بدلاً من HTTPS (CWE-1428)
مصدر التقرير
تقرير إلى CERT Polska
CVE ID
CVE-2026-82935
تاريخ النشر
28 سبتمبر 2026
البائع
F&F Filipowski
المنتج
mH-DEVELOPER
الإصدارات المعرضة للخطر
جميع الإصدارات قبل 3.0.30
نوع الثغرة (CWE)
- استخدام مكونات طرف ثالث غير مدعومة (CWE-1104)
مصدر التقرير
تقرير إلى CERT Polska
CVE ID
CVE-2026-82936
تاريخ النشر
28 سبتمبر 2026
البائع
F&F Filipowski
المنتج
mH-DEVELOPER
الإصدارات المعرضة للخطر
جميع الإصدارات قبل 3.0.30
نوع الثغرة (CWE)
تخصيص الموارد بدون حدود أو تقييد (CWE-770)
مصدر التقرير
تقرير إلى CERT Polska
الوصف
خلال أبحاثه الخاصة، اكتشف كريستوف تشودزيك من CERT Polska ثغرات في أجهزة F&F Filipowski mH-DEVELOPER. تم إجراء البحث باستخدام GLM 5.2 LLM، وتم التحقق يدويًا من النتائج واستشارتها مع البائع. قامت فريق CERT.PL بتنسيق الكشف عن الثغرات المذكورة.
الثغرة CVE-2026-82928: تحتوي وحدة المنزل الذكي mH-DEVELOPER على مفتاح SSH عام مشفر مسبقًا في /root/.ssh/authorized_keys، مما يعمل كمدخل محتمل. يسمح خادم SSH بتسجيل الدخول كجذر عبر مصادقة المفتاح ويبدأ تلقائيًا. يمكن للمهاجم الذي يمتلك المفتاح الخاص المطابق الحصول على شل جذر على أي جهاز متأثر، مما يؤدي إلى اختراق النظام بالكامل. لا يمكن إزالة المفتاح دون إعادة تركيب نظام الملفات ويظل موجودًا بعد إعادة ضبط المصنع. يشير البائع إلى أن هذه الوظيفة كانت تستخدم فقط لأغراض الخدمة.
الثغرة CVE-2026-82929: تستخدم وحدة المنزل الذكي mH-DEVELOPER نفس مفاتيح SSH المضبوطة مسبقًا على كل جهاز، دون توليد مفاتيح لكل جهاز. يمكن للمهاجم الذي يستخرج هذه المفاتيح من البرنامج الثابت إعداد خادم SSH غير موثوق به سيثق به العملاء دون تحذير، مما يمكّن من هجمات الرجل في المنتصف واعتراض بيانات الاعتماد.
الثغرة CVE-2026-82930: لا تتحقق وحدة المنزل الذكي mH-DEVELOPER من الرموز في واجهة المصادقة الخاصة بها، مما يترك جميع نقاط نهاية واجهة برمجة التطبيقات HTTP وWebSocket متاحة بدون مصادقة. يمكن لمهاجم غير مصادق عليه على الشبكة المحلية استعلام هذه النقاط، والوصول إلى معلومات النظام، وإرسال أوامر تحكم خام للتلاعب بأجهزة أتمتة المباني.
الثغرة CVE-2026-82932: لا تقوم وحدة المنزل الذكي mH-DEVELOPER بتحميل أي قواعد جدار ناري عند بدء التشغيل. هذا يترك جميع الخدمات المستمعة، بما في ذلك SSH وHTTP وWebSocket وNode-RED، مكشوفة تمامًا على الشبكة المحلية بدون تحكم في الوصول. يمكن لأي عميل على نفس الشبكة الوصول إلى كل خدمة.
الثغرة CVE-2026-82933: ترسل وحدة المنزل الذكي mH-DEVELOPER واجهتها الويب ومرور واجهة برمجة التطبيقات عبر HTTP غير المشفر. يتم نقل كلمات المرور، ورموز المصادقة، وأوامر الأجهزة في نص واضح. يمكن لمهاجم على نفس الشبكة اعتراض هذا المرور، وسرقة بيانات الاعتماد والرموز، واختطاف الجلسات.
الثغرة CVE-2026-82935: تأتي وحدة المنزل الذكي mH-DEVELOPER مع إصدار قديم، غير مدعوم من Debian 8 وNode.js runtime v17.0.1 في البرنامج الثابت للإنتاج. هذا يعرض الجهاز لثغرات معروفة علنًا لن تتلقى تصحيحات أمان. يمكن لمهاجم استغلال هذه الثغرات المعروفة لتنفيذ تعليمات برمجية عشوائية، والوصول إلى بيانات حساسة، أو التسبب في رفض الخدمة على الجهاز.
الثغرة CVE-2026-82936: وحدة المنزل الذكي mH-DEVELOPER معرضة لرفض الخدمة بسبب استهلاك الموارد غير المنضبط. يتم تكوين bodyParser في Express بحد 250 ميغابايت لطلبات JSON وURL-encoded. يمكن لمهاجم مصادق عليه على الشبكة المحلية إرسال طلبات كبيرة تستنفد الذاكرة في RAM، مما يتسبب في حالات نفاد الذاكرة وتعطل عملية fh-node، مما يؤدي إلى رفض الخدمة. يعتمد الهجوم الناجح على الاستخدام الحالي للذاكرة في الجهاز والذي ليس تحت السيطرة الكاملة للمهاجم. بشكل حرج، بسبب CVE-2026-82930، يمكن استعلام جميع النقاط بدون مصادقة، لذا يمكن لأي مستخدم على الشبكة المحلية تنفيذ هذا الهجوم.
تم إصلاح هذه المشكلات في الإصدار 3.0.30
يمكن العثور على مزيد من المعلومات حول عملية الكشف المنسقة عن الثغرات في CERT Polska على https://cert.pl/en/cvd/.