CVE-2026-8508: विश्वसनीय ब्राउज़र-सबमिटेड Facebook पहचान के माध्यम से Zyxel कैप्टिव-पोर्टल बाईपास

यह रिपॉज़िटरी CVE-2026-8508 के सार्वजनिक राइटअप, त्वरित सत्यापन स्क्रिप्ट और चुनिंदा सहायक आर्टिफैक्ट्स को एक साथ पैकेज करती है।

यह क्या है

CVE-2026-8508 Zyxel कैप्टिव-पोर्टल सोशल लॉगिन में प्री-ऑथेंटिकेशन ट्रस्ट-बाउंड्री दोष है। यहाँ का स्थानीय रिवर्स कार्य WAX650S V7.10(ABRM.4)C0 पर आधारित था: ब्राउज़र ने Facebook-पक्ष की पहचान प्रक्रिया को पूरा किया, फिर fb_user और संबंधित फ़ील्ड्स को /cgi-bin/social_login.cgi पर सबमिट किया, और बैकएंड ने उन फ़ील्ड्स को ऑथ-स्किप सतह पर स्वीकार कर लिया।

Zyxel की 2026-08-04 एडवाइज़री ने बाद में प्रभावित दायरे को 39 मॉडल्स तक बढ़ा दिया: 36 APs, 2 FWA7 डिवाइस, और 1 सुरक्षा राउटर।

फ़ाइलें

• index.html: स्टैंडअलोन सार्वजनिक HTML राइटअप
• writeup.md: राइटअप के लिए मार्कडाउन स्रोत
• poc/verify_social_login.sh: /cgi-bin/social_login.cgi पर सीधे क्राफ्टेड POSTs के लिए त्वरित सत्यापनकर्ता
• evidence/social_login_static_trust_boundary_20260501.md: ट्रस्ट-बाउंड्री सारांश
• evidence/social_login_client_side_trust_architecture_20260501.md: फ्रंटएंड-से-बैकएंड प्रवाह नोट्स
• evidence/mod_auth_zyxel_social_gate_20260501.md: ऑथ-स्किप विश्लेषण
• decomp/social_login_20260501.c: स्थानीय समीक्षा में उपयोग किया गया डिकंपाइल्ड CGI पाथ

त्वरित सत्यापन

chmod +x poc/verify_social_login.sh
./poc/verify_social_login.sh <device_ip> [fb_user]

अपेक्षित सफलता संकेत:

Set-Cookie: authtok=

नोट्स

• केवल अधिकृत परीक्षण।
• PoC जानबूझकर सीमित है: यह जाँचता है कि क्या एक क्राफ्टेड प्री-ऑथ POST गेस्ट-सेशन कुकी जारी करने के पथ तक पहुँच सकता है।
• व्यापक डाउनस्ट्रीम प्रभाव चर्चा को वेरिफ़ायर स्क्रिप्ट में ज़बरदस्ती शामिल करने के बजाय राइटअप और एविडेंस फ़ाइलों में दस्तावेज़ित किया गया है।
• गहन इम्यूलेशन और रीहोस्टिंग पथ के लिए, https://github.com/minanagehsalalma/zyxel-wax650s-research-notebook-public देखें।