michaeladamgroberman/cve-2026-25197CVE-2026-25197: IDOR के माध्यम से प्राधिकरण बाईपास — Gardyn Home Kit (ICSA-26-055-03)
| क्षेत्र | मान |
|---|---|
| CVE | CVE-2026-25197 |
| ICSA | ICSA-26-055-03 (अद्यतन A) |
| CVSS 3.1 | 9.1 (गंभीर) |
| वेक्टर | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| CWE | CWE-639 (उपयोगकर्ता-नियंत्रित कुंजी के माध्यम से प्राधिकरण बायपास) |
| शोधकर्ता | Michael Groberman — Gr0m |
| प्रकाशित | 2026-04-02 (अद्यतन A) |
| क्षेत्र | मान |
|---|---|
| विक्रेता | Gardyn |
| उत्पाद | Gardyn Home Kit 1.0, 2.0, 3.0, 4.0; Gardyn Studio 1.0, 2.0 |
| घटक | Cloud API |
| प्रभावित संस्करण | Cloud API < 2.12.2026 |
दो REST API एंडपॉइंट उपयोगकर्ता डेटा को प्रति-उपयोगकर्ता प्राधिकरण जांच के बिना लौटाते हैं:
/api/users पूर्ण उपयोगकर्ता सूची लौटाता है। कोई प्रमाणीकरण आवश्यक नहीं है।/api/user/{id} {id} द्वारा पहचाने गए उपयोगकर्ता की प्रोफ़ाइल लौटाता है। कोई सत्यापन नहीं किया जाता है कि अनुरोध करने वाला पक्ष उस उपयोगकर्ता के रिकॉर्ड तक पहुंचने के लिए अधिकृत है।उपयोगकर्ता पहचानकर्ता अनुक्रमिक पूर्णांक हैं, जो /api/user/{id} एंडपॉइंट के माध्यम से सभी 134,215+ उपयोगकर्ता खातों और उनके संबंधित उपकरणों की गणना की अनुमति देते हैं।
/api/users एंडपॉइंट अप्रमाणित अनुरोधों को स्वीकार करता है और पूर्ण उपयोगकर्ता सूची लौटाता है। इस एंडपॉइंट पर कोई प्रमाणीकरण, दर सीमा, या एक्सेस लॉगिंग नहीं की जाती है।
GET [REDACTED — Cloud API host]/api/users
Authentication: NONE
/api/user/{id} एंडपॉइंट एक पथ पैरामीटर के रूप में एक उपयोगकर्ता आईडी स्वीकार करता है और संबंधित उपयोगकर्ता की प्रोफ़ाइल लौटाता है। एंडपॉइंट यह सत्यापित करने के लिए कोई प्राधिकरण जांच नहीं करता है कि अनुरोध करने वाला पक्ष अनुरोधित उपयोगकर्ता से जुड़ा है या नहीं। उपयोगकर्ता आईडी अनुक्रमिक पूर्णांक हैं।
GET [REDACTED — Cloud API host]/api/user/{user_id}
प्रति उपयोगकर्ता उजागर डेटा:
| क्षेत्र | विवरण |
|---|---|
| नाम | पूरा नाम |
| ईमेल | ईमेल पता |
| पता | भौतिक पता |
| उपकरण | संबंधित डिवाइस आईडी और सीरियल नंबर |
| सेटिंग्स | खाता कॉन्फ़िगरेशन |
कैमरा छवि URL एक अनुमानित पैटर्न का पालन करते हैं जिसमें अनुक्रमिक उपयोगकर्ता आईडी, डिवाइस आईडी और टाइमस्टैम्प शामिल होते हैं। IDOR के माध्यम से उपयोगकर्ता और डिवाइस आईडी प्राप्त करने के बाद, एक हमलावर अतिरिक्त प्रमाणीकरण के बिना किसी भी उपयोगकर्ता के कैमरा छवियों तक पहुंचने के लिए मान्य URL बना सकता है। Gardyn कैमरा केवल स्थिर छवियां कैप्चर करता है — कोई ऑडियो स्ट्रीम रिकॉर्ड या उजागर नहीं की जाती हैं।
/api/users (कोई प्रमाणीकरण नहीं, पूर्ण उपयोगकर्ता सूची) और /api/user/{id} (अनुक्रमिक IDOR, किसी भी उपयोगकर्ता का डेटा)| सेवा | उद्देश्य |
|---|---|
| Azure AD B2C | टोकन-आधारित पहचान जिसमें प्रति उपयोगकर्ता स्कोप्ड क्लेम्स हैं |
| UUID/GUID पहचानकर्ता | गैर-गणनीय पहचानकर्ता |
| प्राधिकरण मिडलवेयर | प्रति-अनुरोध प्राधिकरण सत्यापन |
Gardyn Cloud API संस्करण 2.12.2026 या बाद में अपग्रेड करने की अनुशंसा करता है। अतिरिक्त जानकारी के लिए https://mygardyn.com/security/ देखें।
डिवाइस मालिकों के लिए अनुशंसित शमन:
विक्रेता के लिए अनुशंसित समाधान:
| दिनांक | घटना |
|---|---|
| 2025-10-14 | विक्रेता को प्रारंभिक प्रकटीकरण |
| 2025-12-11 | CERT/CC को प्रकटीकरण |
| 2026-02-24 | ICSA-26-055-03 प्रकाशित (प्रारंभिक) |
| 2026-04-02 | ICSA-26-055-03 अद्यतन A -- CVE-2026-25197, CVE-2026-28766, CVE-2026-32646, CVE-2026-28767, CVE-2026-32662 जोड़े गए |
माइकल ग्रोबरमैन — Gr0m द्वारा CISA को रिपोर्ट किया गया।