CVE-2026-26367highCWE-862

CVE-2026-26367: fallo de gravedad alta en JUNG eNet SMART HOME server

JUNG eNet SMART HOME server 2.2.1/2.3.1 Arbitrary User Deletion via deleteUserAccount

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear eNet SMART HOME server

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.1epss 0.4%
En resumen

Una falla en el servidor JUNG eNet SMART HOME permite que cualquier usuario regular elimine cuentas de otros usuarios mediante una solicitud especialmente diseñada. Esto es peligroso porque usuarios de bajo nivel pueden dañar otras cuentas e impedir que usuarios legítimos accedan al sistema.

Detalle técnico

El método JSON-RPC deleteUserAccount en el endpoint /jsonrpc/management carece de validación adecuada de autorización (CWE-862), permitiendo que usuarios autenticados con privilegios básicos (UG_USER) eliminen cuentas arbitrarias mediante solicitudes POST con parámetros manipulados. La vulnerabilidad afecta las versiones 2.2.1 y 2.3.1, excepto la cuenta administrador.

Resumen generado y traducido por IA a partir de la descripción oficial.
eNet SMART HOME server 2.2.1 and 2.3.1 contains a missing authorization vulnerability in the deleteUserAccount JSON-RPC method that permits any authenticated low-privileged user (UG_USER) to delete arbitrary user accounts, except for the built-in admin account. The application does not enforce role-based access control on this function, allowing a standard user to submit a crafted POST request to /jsonrpc/management specifying another username to have that account removed without elevated permissions or additional confirmation.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Productos afectados
JUNG · eNet SMART HOME server
CVEs relacionadas — JUNG eNet SMART HOME server

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-26366CRITICALJUNG eNet SMART HOME server 2.2.1/2.3.1 Use of Default CredentialsEPSS 0.7%CVE-2026-26369HIGHJUNG eNet SMART HOME server 2.2.1/2.3.1 Privilege Escalation via setUserGroupEPSS 0.6%CVE-2026-26368HIGHJUNG eNet SMART HOME server 2.2.1/2.3.1 Account Takeover via resetUserPasswordEPSS 0.6%