آسیب‌پذیری‌ها در دستگاه‌های F&F Filipowski mH-DEVELOPER
CVE ID
CVE-2026-82928
تاریخ انتشار
28 سپتامبر 2026
فروشنده
F&F Filipowski
محصول
mH-DEVELOPER
نسخه‌های آسیب‌پذیر
تمامی نسخه‌ها قبل از 3.0.30
نوع آسیب‌پذیری (CWE)
شامل ویژگی‌های مستند نشده یا بیت‌های غیرضروری (CWE-1242)
منبع گزارش
گزارش به CERT Polska
CVE ID
CVE-2026-82929
تاریخ انتشار
28 سپتامبر 2026
فروشنده
F&F Filipowski
محصول
mH-DEVELOPER
نسخه‌های آسیب‌پذیر
تمامی نسخه‌ها قبل از 3.0.30
نوع آسیب‌پذیری (CWE)
استفاده از کلید رمزنگاری سخت‌کد شده (CWE-321)
منبع گزارش
گزارش به CERT Polska
CVE ID
CVE-2026-82930
تاریخ انتشار
28 سپتامبر 2026
فروشنده
F&F Filipowski
محصول
mH-DEVELOPER
نسخه‌های آسیب‌پذیر
تمامی نسخه‌ها قبل از 3.0.30
نوع آسیب‌پذیری (CWE)
عدم تأیید اعتبار برای عملکردهای حیاتی (CWE-306)
منبع گزارش
گزارش به CERT Polska
CVE ID
CVE-2026-82932
تاریخ انتشار
28 سپتامبر 2026
فروشنده
F&F Filipowski
محصول
mH-DEVELOPER
نسخه‌های آسیب‌پذیر
تمامی نسخه‌ها قبل از 3.0.30
نوع آسیب‌پذیری (CWE)
محدودیت نادرست کانال ارتباطی به نقاط پایانی مورد نظر (CWE-923)
منبع گزارش
گزارش به CERT Polska
CVE ID
CVE-2026-82933
تاریخ انتشار
28 سپتامبر 2026
فروشنده
F&F Filipowski
محصول
mH-DEVELOPER
نسخه‌های آسیب‌پذیر
تمامی نسخه‌ها قبل از 3.0.30
نوع آسیب‌پذیری (CWE)
اتکا به HTTP به جای HTTPS (CWE-1428)
منبع گزارش
گزارش به CERT Polska
CVE ID
CVE-2026-82935
تاریخ انتشار
28 سپتامبر 2026
فروشنده
F&F Filipowski
محصول
mH-DEVELOPER
نسخه‌های آسیب‌پذیر
تمامی نسخه‌ها قبل از 3.0.30
نوع آسیب‌پذیری (CWE)
- استفاده از اجزای شخص ثالث غیرقابل نگهداری (CWE-1104)
منبع گزارش
گزارش به CERT Polska
CVE ID
CVE-2026-82936
تاریخ انتشار
28 سپتامبر 2026
فروشنده
F&F Filipowski
محصول
mH-DEVELOPER
نسخه‌های آسیب‌پذیر
تمامی نسخه‌ها قبل از 3.0.30
نوع آسیب‌پذیری (CWE)
تخصیص منابع بدون محدودیت یا کنترل (CWE-770)
منبع گزارش
گزارش به CERT Polska
توضیحات
در حین تحقیقات خود، Krzysztof Chudzik از CERT Polska آسیب‌پذیری‌هایی را در دستگاه‌های F&F Filipowski mH-DEVELOPER کشف کرد. تحقیقات با استفاده از GLM 5.2 LLM انجام شد، یافته‌ها به صورت دستی تأیید و با فروشنده مشورت شد. تیم CERT.PL هماهنگی‌های لازم برای افشای این آسیب‌پذیری‌ها را انجام داده است.
آسیب‌پذیری CVE-2026-82928: ماژول خانه هوشمند mH-DEVELOPER شامل یک کلید عمومی SSH سخت‌کد شده در /root/.ssh/authorized_keys است که به عنوان یک درب پشتی بالقوه عمل می‌کند. دیمون SSH اجازه ورود ریشه را از طریق تأیید اعتبار کلید می‌دهد و به صورت خودکار شروع می‌شود. یک مهاجم با کلید خصوصی مطابقت‌دهنده می‌تواند به یک شل ریشه در هر دستگاه آسیب‌دیده دسترسی پیدا کند که منجر به نقض کامل سیستم می‌شود. این کلید بدون دوباره‌مونت کردن سیستم فایل قابل حذف نیست و پس از بازنشانی کارخانه باقی می‌ماند. فروشنده اشاره می‌کند که این عملکرد فقط برای مقاصد خدماتی استفاده شده است.
آسیب‌پذیری CVE-2026-82929: ماژول خانه هوشمند mH-DEVELOPER از همان کلیدهای میزبان SSH سخت‌کد شده در هر دستگاه استفاده می‌کند، بدون تولید کلید برای هر دستگاه. یک مهاجم که این کلیدها را از فریمور استخراج کند می‌تواند یک سرور SSH جعلی راه‌اندازی کند که مشتریان بدون هشدار به آن اعتماد خواهند کرد و این امکان را برای حملات man-in-the-middle و سرقت اعتبار فراهم می‌کند.
آسیب‌پذیری CVE-2026-82930: ماژول خانه هوشمند mH-DEVELOPER توکن‌ها را در middleware تأیید اعتبار خود تأیید نمی‌کند و تمام نقاط پایانی API HTTP و WebSocket بدون تأیید اعتبار قابل دسترسی هستند. یک مهاجم بدون تأیید اعتبار در LAN می‌تواند این نقاط پایانی را پرس‌وجو کند، به اطلاعات سیستم دسترسی پیدا کند و دستورات کنترل خام را برای دستکاری دستگاه‌های اتوماسیون ساختمان ارسال کند.
آسیب‌پذیری CVE-2026-82932: ماژول خانه هوشمند mH-DEVELOPER در زمان راه‌اندازی هیچ قانونی برای فایروال بارگذاری نمی‌کند. این امر باعث می‌شود که تمام خدمات شنود، از جمله SSH، HTTP، WebSocket و Node-RED، به طور کامل در LAN بدون کنترل دسترسی در معرض خطر قرار گیرند. هر مشتری در همان شبکه می‌تواند به هر خدماتی دسترسی پیدا کند.
آسیب‌پذیری CVE-2026-82933: ماژول خانه هوشمند mH-DEVELOPER ترافیک رابط وب و API خود را از طریق HTTP بدون رمزنگاری ارسال می‌کند. رمزهای عبور، توکن‌های تأیید اعتبار و دستورات دستگاه به صورت متن واضح منتقل می‌شوند. یک مهاجم در همان شبکه می‌تواند این ترافیک را رهگیری کند، اعتبارنامه‌ها و توکن‌ها را سرقت کند و جلسات را به سرقت ببرد.
آسیب‌پذیری CVE-2026-82935: ماژول خانه هوشمند mH-DEVELOPER با یک نسخه قدیمی و غیرقابل پشتیبانی از Debian 8 و زمان اجرای Node.js v17.0.1 در فریمور تولیدی خود عرضه می‌شود. این امر دستگاه را در معرض آسیب‌پذیری‌های عمومی شناخته شده‌ای قرار می‌دهد که به روزرسانی‌های امنیتی دریافت نخواهند کرد. یک مهاجم می‌تواند از این نقص‌های شناخته شده برای اجرای کد دلخواه، دسترسی به داده‌های حساس یا ایجاد اختلال در خدمات روی دستگاه استفاده کند.
آسیب‌پذیری CVE-2026-82936: ماژول خانه هوشمند mH-DEVELOPER به دلیل مصرف غیرقابل کنترل منابع در برابر حملات Denial of Service آسیب‌پذیر است. bodyParser Express با محدودیت 250 مگابایتی برای بدنه‌های درخواست JSON و URL-encoded پیکربندی شده است. یک مهاجم تأیید شده در LAN می‌تواند بدنه‌های درخواست بزرگی ارسال کند که بافرهای RAM را پر می‌کند و باعث ایجاد شرایط کمبود حافظه و کرش کردن فرآیند fh-node می‌شود که منجر به اختلال در خدمات می‌گردد. موفقیت این حمله به استفاده فعلی از حافظه دستگاه بستگی دارد که تحت کنترل کامل مهاجم نیست. به طور بحرانی، به دلیل CVE-2026-82930، تمام نقاط پایانی می‌توانند بدون تأیید اعتبار پرس‌وجو شوند، بنابراین هر کاربری در LAN می‌تواند این حمله را انجام دهد.
این مشکلات در نسخه 3.0.30 اصلاح شده‌اند.
اطلاعات بیشتر در مورد فرآیند افشای هماهنگ آسیب‌پذیری در CERT Polska را می‌توانید در https://cert.pl/en/cvd/ پیدا کنید.