CISA-Hinweis: Fehlende Autorisierung in der PayRange-API (CVE-2026-18965)

CISA veröffentlichte am 25. August 2026 einen Hinweis zu einer Schwachstelle (CVE-2026-18965) in der PayRange-API, einem Produkt, das in gewerblichen Einrichtungen verwendet wird. Die Schwachstelle ist auf fehlende Autorisierung an Verwaltungsendpunkten zurückzuführen, wodurch detaillierte Informationen zu jedem Gerät im PayRange-Netzwerk mit oder ohne Konto öffentlich zugänglich sind. Eine erfolgreiche Ausnutzung könnte es einem entfernten, authentifizierten oder nicht authentifizierten Angreifer ermöglichen, sensible Informationen offenzulegen, das Gerät willkürlich zu verändern, um einen Denial-of-Service zu verursachen, oder das angezeigte Bild eines Geräts zu ändern. Der CVSS-Basisscore beträgt 8,8 (Hoch) unter CVSS v3.1 und 8,7 (Hoch) unter CVSS v4.0. PayRange hat nicht auf die Bitten von CISA reagiert, die Schwachstelle zu beheben. CISA empfiehlt Verteidigungsmaßnahmen wie die Minimierung der Netzwerkexposition, die Verwendung von Firewalls und die Isolierung von Steuerungsnetzwerken. Derzeit sind keine bekannten öffentlichen Ausnutzungen gemeldet.