kirubel-cve/cve-2026-36959إثبات مفهوم لاستغلال CVE-2026-36959، وهي ثغرة نقص في تحديد معدل الطلبات في البرنامج الثابت لراوتر U-SPEED، مما يسمح بهجمات القوة الغاشمة على نقطة نهاية تسجيل دخول المسؤول.
معرف CVE: CVE-2026-36959 التاريخ: 2026-04-29 المكتشف: Kirubel Solomne البائع: U-SPEED المنتج: راوتر U-SPEED إصدار البرنامج الثابت: V1.0.0 CWE: CWE-307 - تقييد غير صحيح لمحاولات المصادقة المفرطة
لا يطبّق البرنامج الثابت V1.0.0 لراوتر U-SPEED تحديد معدل الطلبات أو حماية قفل الحساب على نقطة النهاية /api/login. يتيح ذلك لمهاجم على الشبكة المحلية تنفيذ محاولات مصادقة غير محدودة، مما يمكّن هجمات القوة الغاشمة ضد حساب المسؤول واحتمال الوصول غير المصرح به إلى واجهة إدارة الراوتر.
درجة CVSS v3.1: 7.5 (عالية)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
| المقياس | القيمة |
|---|
| ناقل الهجوم | الشبكة |
| تعقيد الهجوم | منخفض |
| الامتيازات المطلوبة | لا شيء |
| تفاعل المستخدم | لا شيء |
| تأثير السرية | عالٍ |
| تأثير السلامة | لا شيء |
| تأثير التوافر | لا شيء |
POST /api/login HTTP/1.1
Host: [Router_IP]
Content-Type: application/json
{"username": "admin", "password": "password_guess"}
لا يتم تفعيل أي تقييد أو قفل للحساب بعد محاولات فاشلة متكررة.
/api/login| التاريخ | الحدث |
|---|---|
| 2026-04-29 | اكتشاف الثغرة |
| 2026-04-29 | الإبلاغ إلى MITRE |
| 2026-04-29 | تعيين CVE-2026-36959 |
| 2026-04-29 | الإفصاح العام |