minanagehsalalma/cve-2026-34472-auth-bypass-zte-h188a-routerDesglose técnico de CVE-2026-34472, un bypass de autenticación mediante credenciales filtradas que afecta a los routers ZTE H188A.
Desglose técnico de CVE-2026-34472, un bypass de autenticación mediante credenciales filtradas que afecta al firmware ZTE ZXHN H188A V6.
En las versiones H188A V6 probadas, las solicitudes no autenticadas a la ruta raíz pueden alcanzar los manejadores del asistente previos al inicio de sesión y divulgar datos sensibles, entre ellos:
Por eso el problema deriva en un bypass de autenticación en lugar de quedarse en la divulgación: en este router, la contraseña Wi-Fi filtrada se convierte en la contraseña de administrador predeterminada una vez puesta en mayúsculas. La fuga cruza la frontera de autenticación al exponer el secreto exacto que el router espera más tarde para el acceso autorizado.
La causa raíz decompilada es más amplia: el enrutamiento de la ruta raíz confía en los valores _type y _tag controlados por el atacante, y la compuerta QuickSetupEnable solo se ejecuta en la ruta de respaldo utilizada cuando _type está ausente. Esto hace que la familia de manejadores del asistente previos al inicio de sesión sea accesible en casos en los que no debería serlo.
En el momento del informe original, aproximadamente 500 interfaces de router H188A expuestas públicamente eran accesibles desde Internet.
A fecha de 2026-05-18, no pude encontrar un aviso público de ZTE ni una versión de firmware corregida para CVE-2026-34472. El registro público sigue consistiendo en las entradas CVE/NVD y las referencias de divulgación.
ZXHN H188A V6.0.10P2_TEZXHN H188A V6.0.10P3N3_TELa cadena vulnerable que se muestra en el análisis local es:
router_logic_impl.lua acepta _type y _tag directamente para solicitudes de ruta vacía.urlpath_2type_modifier.lua solo aplica QuickSetupEnable cuando falta _type.Tedata_notLogin_wizard_page_manage.lua carga el archivo de datos del asistente solicitado para usuarios no autenticados.getPassword, wlan_get y ppp_get.La credencial Wi-Fi devuelta es lo que convierte la fuga en un bypass de autenticación en la ruta H188A validada, porque ese mismo valor se convierte en la contraseña de administrador predeterminada tras ponerla en mayúsculas. Los secretos WLAN y PPPoE también importan porque extienden el impacto más allá del panel web y hasta el acceso a la red.
La misma familia de manejadores también contiene rutas de escritura que usan cmapi.setinst, por lo que el fallo de autorización subyacente es mayor que un único endpoint con fugas.
index.html: informe público principalassets/: CSS y JS de la páginaimages/: capturas de pantalla censuradas usadas en el informepoc/: notas públicas del PoC y un script de extracción limpio2024-04-26 a 2024-05-02: se crearon capturas de pantalla de validación local y artefactos del PoC2024-05: informe original enviado a ZTE PSIRT2024-05-10: el registro posterior de escalamiento a MITRE indica que ZTE dejó de responder después de este punto2026-01-17: paquete de evidencia escalado a MITRE2026-02-02: ZTE PSIRT rechazó explícitamente la asignación2026-03-27: MITRE asignó CVE-2026-344722026-03-30: referencia de divulgación pública enviada