Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en las peticiones POST de HTTP en los teléfonos Yealink. (CVE-2019-14656)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-434 Subida sin restricciones de ficheros de tipos peligrosos
Fecha de publicación:
08/10/2019
Última modificación:
17/10/2019

Descripción

Los teléfonos Yealink hasta el 04-08-2019, no comprueban apropiadamente los roles de los usuarios en las peticiones POST. En consecuencia, la cuenta User predeterminada (con una contraseña de usuario) puede realizar peticiones de administrador por medio de HTTP.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:o:yeahlink:vp59_firmware:*:*:*:*:*:*:*:* 2019-08-04 (incluyendo)
cpe:2.3:h:yeahlink:vp59:-:*:*:*:*:*:*:*
cpe:2.3:o:yeahlink:t49g_firmware:*:*:*:*:*:*:*:* 2019-08-04 (incluyendo)
cpe:2.3:h:yeahlink:t49g:-:*:*:*:*:*:*:*
cpe:2.3:o:yeahlink:t58v_firmware:*:*:*:*:*:*:*:* 2019-08-04 (incluyendo)
cpe:2.3:h:yeahlink:t58v:-:*:*:*:*:*:*:*