Avviso CISA: vulnerabilità di autorizzazione mancante nell'API PayRange (CVE-2026-18965)

CISA ha rilasciato un avviso il 25 agosto 2026 riguardante una vulnerabilità (CVE-2026-18965) nell'API PayRange, un prodotto utilizzato in strutture commerciali. La vulnerabilità è dovuta alla mancanza di autorizzazione sugli endpoint di gestione, consentendo l'accesso pubblico a dettagli completi di ogni dispositivo sulla rete PayRange con o senza account. Lo sfruttamento riuscito potrebbe consentire a un utente remoto, autenticato o non autenticato, di divulgare informazioni sensibili, modificare arbitrariamente il dispositivo per causare denial of service o alterare l'immagine visualizzata sul dispositivo. Il punteggio base CVSS è 8.8 (Alto) secondo CVSS v3.1 e 8.7 (Alto) secondo CVSS v4.0. PayRange non ha risposto alle richieste di CISA di mitigare la vulnerabilità. CISA raccomanda misure difensive come ridurre al minimo l'esposizione di rete, utilizzare firewall e isolare le reti dei sistemi di controllo. Nessuno sfruttamento pubblico noto è stato segnalato al momento.