ثغرات في أجهزة التوجيه Kaon AR2140
CVE ID
CVE-2026-52748
تاريخ النشر
28 سبتمبر 2026
البائع
Kaon
المنتج
AR2140
الإصدارات المعرضة للخطر
جميع الإصدارات حتى 4.2.17
نوع الثغرة (CWE)
عدم وجود مصادقة لوظيفة حرجة (CWE-306)
مصدر التقرير
تقرير إلى CERT Polska
CVE ID
CVE-2026-52749
تاريخ النشر
28 سبتمبر 2026
البائع
Kaon
المنتج
AR2140
الإصدارات المعرضة للخطر
جميع الإصدارات حتى 4.2.17
نوع الثغرة (CWE)
مصادقة غير صحيحة (CWE-287)
مصدر التقرير
تقرير إلى CERT Polska
الوصف
تلقت CERT Polska تقريرًا عن ثغرات في البرنامج الثابت لأجهزة التوجيه Kaon AR2140 وشاركت في تنسيق الكشف عنها.
الثغرة CVE-2026-52748: تحتوي جهاز التوجيه Kaon AR2140 على ثغرة حيث يمكن الوصول إلى وظيفة النسخ الاحتياطي دون مصادقة. وهذا يسمح لمهاجم عن بُعد غير مصادق له بتفعيل النسخ الاحتياطي للتكوين واسترجاعه في شكل مشفر بواسطة مفتاح خاص بالجهاز. يؤدي تفعيل هذه الوظيفة إلى جعل جهاز التوجيه غير قابل للتشغيل لفترة زمنية كبيرة.
الثغرة CVE-2026-52749: يصدر جهاز التوجيه Kaon AR2140 ملفات تعريف الارتباط الخاصة بالجلسة بشكل غير صحيح في الاستجابات لطلبات HTTP غير المصادق عليها. تتيح هذه الثغرة لمهاجم عن بُعد الحصول على معرف جلسة صالح دون تقديم بيانات الاعتماد، مما يؤدي إلى تجاوز المصادقة. مع هذا الوصول، يمكن للمهاجم تنفيذ إجراءات غير مصرح بها على الوظائف المتعلقة بالتحديث. يمكن استغلال هذه الإجراءات لإجبار جهاز التوجيه على إصدار طلبات GET إلى مجالات مختارة بشكل تعسفي.
تم تحديد هذه المشكلات في إصدارات البرنامج الثابت حتى 4.2.17. حالة الإصدارات الأحدث لا تزال غير معروفة.
الاعتمادات
نشكر سيباستيان ييج على تقرير الثغرة المسؤول.
يمكن العثور على مزيد من المعلومات حول عملية الكشف المنسق عن الثغرات في CERT Polska على https://cert.pl/en/cvd/.