Múltiples vulnerabilidades en el firmware NE2-D11 de Ebyte

• CVE-2026-73125: la interfaz de administración web no aplica la autenticación de forma sistemática antes de otorgar acceso a las funciones administrativas. Un atacante remoto, no autenticado, podría acceder a información de configuración confidencial, modificar la configuración del dispositivo o interrumpir su disponibilidad.
• CVE-2026-71187: el dispositivo Ebyte se basa en una lógica de autenticación del lado del cliente que puede ser reproducida por usuarios no autenticados. Un atacante podría generar solicitudes de autenticación válidas y eludir la autenticación para obtener acceso administrativo al dispositivo.
• CVE-2026-76179: en algunos productos de puerta de enlace de Ebyte existe una vulnerabilidad relacionada con la protección inadecuada de los tokens de autenticación. Los tokens de autenticación utilizados por la interfaz de administración web no están suficientemente protegidos durante la gestión de la sesión del cliente, lo que podría permitir a un atacante con acceso a la información de sesión expuesta obtener y reutilizar un token válido. Una explotación exitosa podría permitir a un atacante suplantar la identidad de un usuario autenticado y obtener acceso no autorizado a la funcionalidad de administración del dispositivo.
• CVE-2026-69658: las credenciales MQTT y el tráfico de control se transmiten en texto plano, lo que expone información confidencial a atacantes a nivel de red. Esto puede permitir la suplantación de identidad no autorizada de dispositivos y la interrupción de las funciones de mensajería.
• CVE-2026-73809: en ciertos productos de puerta de enlace Ebyte existe una vulnerabilidad que permite la transmisión de información confidencial en texto plano. La interfaz de administración web no protege adecuadamente las comunicaciones confidenciales mediante el cifrado de la capa de transporte. Un atacante con acceso al tráfico de red podría interceptar la información de autenticación o de sesión transmitida entre un usuario y el dispositivo afectado. Una explotación exitosa podría resultar en la divulgación de información confidencial y el acceso no autorizado a las funciones de administración del dispositivo.
• CVE-2026-75814: el dispositivo Ebyte no verifica adecuadamente el origen ni la autenticidad de las solicitudes enviadas a la interfaz de administración web. Un atacante remoto no autenticado podría persuadir a un administrador autenticado para que visite una página manipulada, lo que provocaría cambios de configuración no autorizados o una interrupción en la disponibilidad del dispositivo.
• CVE-2026-76940: el dispositivo Ebyte afectado no restringe los intentos de autenticación repetidos mediante mecanismos de limitación de velocidad o bloqueo de cuenta. Esto podría permitir a un atacante realizar ataques de autenticación automatizados contra implementaciones que dependen de la autenticación mediante contraseña.
• CVE-2026-75813: algunos puntos de configuración pueden carecer de las comprobaciones de autorización adecuadas en el servidor, lo que permite que usuarios no autorizados accedan o modifiquen la configuración confidencial del dispositivo. Esto podría comprometer por completo la funcionalidad del dispositivo.
• CVE-2026-76945: el dispositivo Ebyte afectado depende de tokens de autenticación gestionados por el cliente sin una validación suficiente en el servidor. Un atacante podría reutilizar o manipular los tokens de autenticación para obtener acceso no autorizado a las funciones administrativas.

Para las vulnerabilidades de seveidad media se han asignado los identificadores: CVE-2026-75548 y CVE-2026-73839.