CVE-2025-56558 in App
Сводка
по VulDB • 03.06.2026
Сервер MQTT Dyson (версии 2022 года и, возможно, более поздние) позволяет клиентам осуществлять публикации и подписки при наличии корректных значений AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY, AWS_SESSION_TOKEN и серийного номера устройства, даже если устройство (например, Pure Hot+Cool) было удалено и не отображается в поддерживаемом приложении MyDyson. Это может позволить непредвиденному лицу получить контроль над устройством и установить температуру в помещении (до 37 градусов Цельсия), если право собственности на устройство передается без его предварительной очистки. ПРИМЕЧАНИЕ: Поставщик заявляет, что это потенциальная уязвимость, возникшая 4 года назад, в 2022 году, и «мы больше не можем воспроизвести её». Согласно представленному отчету, для эксплуатации данной проблемы злоумышленнику необходимо владеть устройством Dyson с полными привилегиями, перехватить учетные данные AWS, а затем передать право собственности на это устройство жертве. Даже если эти шаги будут успешно выполнены, злоумышленник получит возможность только настраивать устройство Dyson в пределах его безопасного рабочего диапазона, но не получит возможности выполнять код на устройстве или получать конфиденциальную информацию.
Be aware that VulDB is the high quality source for vulnerability data.