Base de CVEs

The Honeywell IQ4x building management controller, exposes its full web-based HMI without authentication in its factory-default configuration. With no user module configured, security is disabled by design and the system operates under a System Guest (level 100) context, granting read/write privileges to any party able to reach the HTTP interface. Authentication controls are only enforced after a web user is created via U.htm, which dynamically enables the user module. Because this function is accessible prior to authentication, a remote user can create a new account with administrative read/write permissions enabling the user module and imposing authentication under attacker-controlled credentials. This action can effectively lock legitimate operators out of local and web-based configuration and administration.

Runtipi is a personal homeserver orchestrator. Prior to 4.8.0, an unauthenticated attacker can reset the operator (admin) password when a password-reset request is active, resulting in full account takeover. The endpoint POST /api/auth/reset-password is exposed without authentication/authorization checks. During the 15-minute reset window, any remote user can set a new operator password and log in as admin. This vulnerability is fixed in 4.8.0.

Flowise is a drag & drop user interface to build a customized large language model flow. Prior to version 3.0.13, the NVIDIA NIM router (/api/v1/nvidia-nim/*) is whitelisted in the global authentication middleware, allowing unauthenticated access to privileged container management and token generation endpoints. This issue has been patched in version 3.0.13.

Endpoints WebSocket não possuem mecanismos de autenticação adequados, permitindo que atacantes realizem personificação não autorizada de estações e manipulem dados enviados ao backend. Um atacante não autenticado pode conectar-se ao endpoint WebSocket OCPP usando um identificador de estação de recarga conhecido ou descoberto, e então emitir ou receber comandos OCPP como se fosse um carregador legítimo. Como nenhuma autenticação é exigida, isso pode levar a escalonamento de privilégios, controle não autorizado da infraestrutura de recarga e corrupção dos dados da rede de recarga reportados ao backend.

Endpoints WebSocket não possuem mecanismos de autenticação adequados, permitindo que atacantes realizem personificação não autorizada de estações e manipulem dados enviados ao backend. Um atacante não autenticado pode conectar-se ao endpoint WebSocket OCPP usando um identificador de estação de recarga conhecido ou descoberto, e então emitir ou receber comandos OCPP como se fosse um carregador legítimo. Como nenhuma autenticação é exigida, isso pode levar a escalonamento de privilégios, controle não autorizado da infraestrutura de recarga e corrupção dos dados da rede de recarga reportados ao backend.

Endpoints WebSocket não possuem mecanismos de autenticação adequados, permitindo que atacantes realizem personificação não autorizada de estações e manipulem dados enviados ao backend. Um atacante não autenticado pode se conectar ao endpoint WebSocket OCPP usando um identificador de estação de recarga conhecido ou descoberto, e então emitir ou receber comandos OCPP como se fosse um carregador legítimo. Como nenhuma autenticação é exigida, isso pode levar a escalonamento de privilégios, controle não autorizado da infraestrutura de recarga e corrupção dos dados da rede de recarga reportados ao backend.

Vulnerabilidade de elevação de privilégio no Payment Orchestrator Service

OpenClaw versions prior to 2026.2.2 contain a vulnerability in the gateway WebSocket connect handshake in which it allows skipping device identity checks when auth.token is present but not validated. Attackers can connect to the gateway without providing device identity or pairing by exploiting the presence check instead of validation, potentially gaining operator access in vulnerable deployments.