CVE-2026-26369highCWE-269

CVE-2026-26369: falha de alta gravidade em JUNG eNet SMART HOME server

JUNG eNet SMART HOME server 2.2.1/2.3.1 Privilege Escalation via setUserGroup

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar eNet SMART HOME server

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.7epss 0.6%
Em resumo

Um defeito no servidor JUNG eNet SMART HOME permite que usuários comuns se promovam a administradores enviando uma requisição manipulada. Isso dá aos invasores controle total sobre os dispositivos e configurações da casa inteligente.

Detalhe técnico

O método setUserGroup do JSON-RPC no endpoint /jsonrpc/management não valida adequadamente as permissões, permitindo que um usuário autenticado com privilégio UG_USER escale seus direitos para UG_ADMIN enviando uma POST com seu próprio nome de usuário. Isso contorna os controles de acesso e concede acesso administrativo completo às configurações de dispositivos e rede.

Resumo gerado e traduzido por IA a partir da descrição oficial.
eNet SMART HOME server 2.2.1 and 2.3.1 contains a privilege escalation vulnerability due to insufficient authorization checks in the setUserGroup JSON-RPC method. A low-privileged user (UG_USER) can send a crafted POST request to /jsonrpc/management specifying their own username to elevate their account to the UG_ADMIN group, bypassing intended access controls and gaining administrative capabilities such as modifying device configurations, network settings, and other smart home system functions.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Produtos afetados
JUNG · eNet SMART HOME server
CVEs relacionadas — JUNG eNet SMART HOME server

No mesmo produto, das mais perigosas para as menos.

CVE-2026-26366CRITICALJUNG eNet SMART HOME server 2.2.1/2.3.1 Use of Default CredentialsEPSS 0.7%CVE-2026-26368HIGHJUNG eNet SMART HOME server 2.2.1/2.3.1 Account Takeover via resetUserPasswordEPSS 0.6%CVE-2026-26367HIGHJUNG eNet SMART HOME server 2.2.1/2.3.1 Arbitrary User Deletion via deleteUserAccountEPSS 0.4%