CVE-2026-32646: غياب المصادقة على نقطة نهاية إدارة الأجهزة الإدارية

النشرة الاستشارية

الحقل	القيمة
CVE	CVE-2026-32646
ICSA	ICSA-26-055-03 (تحديث أ)
CVSS 3.1	7.5 (عالي)
Vector	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`
CWE	CWE-306 (غياب المصادقة للوظائف الحرجة)
Researcher	Michael Groberman — Gr0m
Published	2026-04-02 (تحديث أ)

المنتج

الحقل	القيمة
البائع	Gardyn
المنتج	Gardyn Home Kit 1.0, 2.0, 3.0, 4.0; Gardyn Studio 1.0, 2.0
المكوّن	Cloud API
الإصدارات المتأثرة	Cloud API < 2.12.2026

الملخص

نقطة النهاية الإدارية /api/admin/devices لإدارة الأجهزة يمكن الوصول إليها بدون مصادقة. تعرّض نقطة النهاية هذه وظائف تعداد الأجهزة واسترجاع البيانات الوصفية وإدارة الأجهزة المخصّصة للاستخدام الإداري فقط.

تفاصيل الثغرة

وصول إداري بدون مصادقة

نقطة نهاية إدارة الأجهزة الإدارية قابلة للوصول علنًا بدون أي ضوابط مصادقة أو تفويض:

GET [REDACTED — Cloud API host]/api/admin/devices
Authentication: NONE

الوظائف المكشوفة

تمكّن نقطة النهاية غير المصادَق عليها من:

تعداد الأجهزة -- قائمة بجميع الأجهزة المسجّلة في الأسطول
البيانات الوصفية للأجهزة -- الأرقام التسلسلية، إصدارات البرامج الثابتة، حالة الاتصال/عدم الاتصال، الطوابع الزمنية لآخر ظهور
ربط الأجهزة بالمستخدمين -- أي مستخدم يملك أي جهاز
عمليات إدارة الأجهزة -- عمليات CRUD إدارية على سجلات الأجهزة

العلاقة بالاكتشافات الأخرى

توفر نقطة النهاية هذه مسارًا بديلًا لتعداد الأجهزة لا يتطلب بيانات اعتماد IoT Hub (CVE-2025-1242). بينما تمكّن CVE-2025-1242 من التعداد عبر سجل Azure IoT Hub، تمكّن نقطة النهاية هذه من التعداد عبر واجهة برمجة تطبيقات Gardyn الخلفية — مساران مستقلان إلى البيانات نفسها.

عند دمجها مع CVE-2026-25197 (IDOR)، يمكن استخدام معرّفات الأجهزة التي يتم الحصول عليها من نقطة النهاية هذه للانتقال إلى المعلومات الشخصية (PII) للمستخدمين عبر REST API.

التأثير

تعداد كامل لأسطول الأجهزة بدون مصادقة (~138,160 جهازًا مسجّلًا)
كشف البيانات الوصفية للأجهزة (الأرقام التسلسلية، إصدارات البرامج الثابتة، الحالة) يمكّن من شن هجمات موجهة
الربط بين الأجهزة والمستخدمين يمكّن من انتهاكات الخصوصية على نطاق واسع
يوفر بيانات استطلاع لاستغلال CVE-2025-1242 (بيانات اعتماد IoT Hub) وCVE-2025-29631 (حقن الأوامر)
تعرّض الوظائف الإدارية قد يمكّن من التلاعب بالأجهزة

الخدمات القياسية المتاحة لهذه الفئة من نقاط النهاية

الخدمة	الغرض
Azure App Service Authentication (Easy Auth)	وسيط مصادقة مدمج — تبديل واحد يحمي جميع نقاط النهاية

المعالجة

توصي Gardyn بالترقية إلى إصدار Cloud API 2.12.2026 أو أحدث. راجع https://mygardyn.com/security/ للحصول على معلومات إضافية.

التخفيفات الموصى بها لأصحاب الأجهزة:

عزل جهاز Gardyn على شبكة VLAN مخصصة أو قطاع شبكة IoT

الإصلاح الموصى به للبائع:

طلب مصادقة إدارية على جميع نقاط النهاية /api/admin/*
تنفيذ تحكم بالوصول قائم على الأدوار يفصل بين عمليات المسؤول والمستخدم
وضع نقاط النهاية الإدارية خلف مسار منفصل خاضع للتحكم بالوصول (وليس على API العام)
تدقيق سجلات الوصول لنقاط النهاية الإدارية بحثًا عن وصول غير مصرح به
تنفيذ تحديد معدل الطلبات على نقاط نهاية قوائم الأجهزة

الجدول الزمني

التاريخ	الحدث
2025-10-14	الإفصاح الأولي للبائع
2025-12-11	الإفصاح إلى CERT/CC
2026-02-24	نشر ICSA-26-055-03 (النشر الأولي)
2026-04-02	ICSA-26-055-03 تحديث أ — إضافة CVE-2026-32646

المراجع

التقدير

أُبلغ من قبل Michael Groberman — Gr0m إلى CISA.

الأكثر شعبية

CVE-2026-32646