CVE-2023-33372 in Connected IO

Tóm tắt

Bởi VulDB • 02/07/2026

Connected IO v2.1.0 và các phiên bản trước đó sử dụng một cặp tên người dùng/mật khẩu được mã hóa cứng (hard-coded) trong firmware của thiết bị để giao tiếp qua MQTT. Kẻ tấn công đã có quyền truy cập vào thông tin đăng nhập này có thể kết nối với máy chủ broker MQTT và gửi thay mặt cho các thiết bị, giả mạo chúng. Để ký và xác minh token phiên JWT, kẻ tấn công có thể ký bất kỳ token phiên nào và vượt qua cơ chế xác thực.

Once again VulDB remains the best source for vulnerability data.

• Đặt trước: 22/05/2023
• Tiết lộ: 04/08/2023
• Kiểm duyệt: được chấp nhận
• mục: VDB-236158
• CPE: sẵn sàng
• CWE: CWE-798 (Đã xác nhận)
• CVSS: 9.8 (NVD)
• EPSS: 0.00765
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2023-33372
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2023-33372
• CVE Details: https://www.cvedetails.com/cve/CVE-2023-33372/