Múltiples vulnerabilidades en X3050 de SenseLive
Fecha de publicación 22/04/2026
Identificador
INCIBE-2026-302
Importancia
5 - Crítica
Recursos Afectados
SenseLive X3050, V1.523.
Descripción
Jithin Nambiar J ha informado de 11 vulnerabilidades, 5 crítica, 4 altas y 2 medias que, en caso de ser explotadas, podrían permitir omitir la autenticación, modificar funciones críticas de configuración y provocar una denegación de servicio, entre otras acciones.
Solución
Por el momento no hay disponible una versión que corrija el problema.
Detalle
- CVE-2026-40630: una vulnerabilidad en la interfaz de administración web permite el acceso no autorizado a ciertos endpoints de configuración debido a una aplicación inadecuada de los controles de acceso. Un atacante con acceso a la red del dispositivo puede evitar los mecanismos de autenticación definidos e interactuar directamente con funciones de configuración críticas.
- CVE-2026-35505: una vulnerabilidad en la interfaz de administración web permite que la lógica de autenticación se realice completamente en el lado del cliente, lo que hace que dependa de valores almacenados en el código de los scripts que se ejecutan en el navegador, en lugar de realizar una verificación en el lado del servidor. Un atacante con acceso a la página de registro puede recuperar estos parámetros expuestos y lograr acceso no autorizado a las funcionalidades de administración.
- CVE-2026-27843: una vulnerabilidad en la interfaz de administración web hace que sea posible modificar parámetros críticos de configuración sin suficiente autenticación o validación en el lado del servidor. Al aplicar valores que no son soportados o son disruptivos en los mecanismos de recuperación y las propiedades de red, un atacante puede provocar un estado de bloqueo permanente. Debido a que el dispositivo carece de un botón de reseteo, para recuperar el dispositivo es necesario realizar un acceso técnico especializado a través de la consola para resetear el equipo a sus valores de fábrica, lo que provoca una interrupción total del servicio para la pasarela y los sistemas conectados a ella a través de RS-485.
- CVE-2026-40620: una vulnerabilidad en la interfaz de administración web permite que se consiga el control total como administrador sin ningún mecanismo de autenticación o autorización en la aplicación de configuración SenseLive. El servicio acepta conexiones de gestión desde cualquier host que sea alcanzable, permitiendo la modificación sin restricciones de los parámetros de configuración críticos, modos de operación y estados del dispositivos a través de un cliente proporcionado por el fabricante o compatible.
- CVE-2026-25775: una vulnerabilidad en el servicio de gestión remota permite realizar operaciones de descarga y actualización del firmware sin autenticación ni autorización. El servicio acepta solicitudes relacionadas con el firmware procedentes de cualquier host accesible y no verifica los permisos de los usuarios, la integridad de las imágenes cargadas ni la autenticidad del firmware proporcionado.
- CVE-2026-40623: una vulnerabilidad en la interfaz de administración web hace que sea posible modificar parámetros críticos de configuración y de la red sin validación ni controles de seguridad suficientes. Debido a que no se aplican adecuadamente restricciones sobre funciones sensibles, parámetros como las direcciones IP, los temporizadores de vigilancia, los intervalos de reconexión y los puertos de servicio pueden configurarse con valores no compatibles o inseguros. Estos cambios de configuración afectan directamente al comportamiento básico del dispositivo y a los mecanismos de recuperación, y pueden desestabilizar el funcionamiento del dispositivo o, incluso, hacer que este quede inactivo de forma permanente.
- CVE-2026-39462: una vulnerabilidad en la interfaz de administración web hace que las actualizaciones de contraseñas no se apliquen de forma segura debido a que no se gestionan de forma correcta los cambios de credenciales en el backend. Una vez que se hace un reseteo de fábrica al producto utilizando la herramienta SenseLive Config 2.0, la interfaz puede indicar que se ha actualizado la contraseña satisfactoriamente; sin embargo, el sistema puede contiuar aceptando las credenciales anteriores o por defecto. Incluso después de un reseteo de fábrica, los intentos de cambio de contraseña puede que no se apliquen correctamente.
- CVE-2026-27841: una vulnerabilidad en la interfaz de administración web permite que se activen operaciones que modifican el estado sin las protecciones adecuadas contra la falsificación de solicitudes entre sitios (CSRF). Dado que la aplicación no aplica una validación del origen de la solicitud por parte del servidor ni implementa tokens CSRF, una página web externa maliciosa podría hacer que el navegador de un usuario enviara solicitudes de configuración no autorizadas al dispositivo.
- CVE-2026-35064: una vulnerabilidad en el ecosistema de gestión permite detectar sin autenticación las unidades instaladas a través del protocolo de gestión del fabricante, lo que permite identificar la presencia de otros dispositivos, sus identificadores y sus interfaces de gestión sin necesidad de credenciales. Dado que las funciones de detección están expuestas por el servicio subyacente en lugar de estar restringidas por la autenticación, un atacante que se encuentre en el mismo segmento de red puede enumerar rápidamente los dispositivos afectados.
CVE
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-40630 | Crítica | No | SenseLive |
| CVE-2026-35505 | Crítica | No | SenseLive |
| CVE-2026-27843 | Crítica | No | SenseLive |
| CVE-2026-40623 | Crítica | No | SenseLive |
| CVE-2026-40620 | Crítica | No | SenseLive |
| CVE-2026-25775 | Crítica | No | SenseLive |
| CVE-2026-40623 | Alta | No | SenseLive |
| CVE-2026-39462 | Alta | No | SenseLive |
| CVE-2026-27841 | Alta | No | SenseLive |
| CVE-2026-35064 | Alta | No | SenseLive |
Listado de referencias
