CISA-advisering: PayRange API-kwetsbaarheid voor ontbrekende autorisatie (CVE-2026-18965)

CISA heeft op 25 augustus 2026 een advies uitgebracht over een kwetsbaarheid (CVE-2026-18965) in de PayRange API, een product dat wordt gebruikt in commerciële faciliteiten. De kwetsbaarheid is te wijten aan ontbrekende autorisatie op beheer-eindpunten, waardoor gedetailleerde informatie over elk apparaat in het PayRange-netwerk openbaar toegankelijk is met of zonder account. Succesvolle exploitatie kan een externe, geauthenticeerde of niet-geauthenticeerde aanvaller in staat stellen gevoelige informatie openbaar te maken, het apparaat willekeurig te wijzigen om denial of service te veroorzaken, of de weergegeven afbeelding van een apparaat te wijzigen. De CVSS-basescore is 8.8 (Hoog) onder CVSS v3.1 en 8.7 (Hoog) onder CVSS v4.0. PayRange heeft niet gereageerd op CISA's verzoeken om de kwetsbaarheid te mitigeren. CISA beveelt defensieve maatregelen aan zoals het minimaliseren van netwerkblootstelling, het gebruik van firewalls en het isoleren van besturingssysteemnetwerken. Er is op dit moment geen bekende openbare exploitatie gemeld.