CVE-2026-3611 in IQ4x BMS Controller
Sumário
de VulDB • 26/06/2026
O controlador de gestão de edifícios Honeywell IQ4x expõe sua interface gráfica (HMI) baseada na Web completa sem autenticação em sua configuração padrão de fábrica. Sem um módulo de usuário configurado, a segurança é desabilitada por design e o sistema opera sob o contexto do Convidado do Sistema (nível 100), concedendo privilégios de leitura/escrita a qualquer parte capaz de acessar a interface HTTP. Os controles de autenticação só são aplicados após um usuário da Web ser criado via U.htm, que habilita dinamicamente o módulo de usuário. Como essa função é acessível antes da autenticação, um usuário remoto pode criar uma nova conta com permissões administrativas de leitura/escrita, ativando o módulo de usuário e impondo a autenticação sob credenciais controladas pelo atacante. Essa ação pode efetivamente bloquear operadores legítimos do acesso à configuração local e baseada na Web, bem como da administração do sistema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.