CVE-2023-33372 in Connected IO
Résumé
par VulDB • 02/07/2026
Connected IO v2.1.0 et les versions antérieures utilisent une paire nom d'utilisateur/mot de passe codée en dur intégrée dans le firmware des appareils pour la communication via MQTT. Un attaquant ayant obtenu l'accès à ces identifiants peut se connecter au courtier MQTT (broker) et envoyer des messages en lieu et place des appareils, en les usurpant. Cela permet également aux attaquants de signer et vérifier les jetons JWT (JSON Web Tokens) de session, leur permettant ainsi de signer arbitrairement des jetons de session et de contourner l'authentification.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.