CVE-2026-8508: Обход Captive-Portal в Zyxel через доверенную личность Facebook, отправляемую браузером

Этот репозиторий содержит публичное описание уязвимости, скрипт быстрой проверки и отдельные вспомогательные артефакты для CVE-2026-8508.

Что это такое

CVE-2026-8508 — это ошибка доверительной границы до аутентификации в социальном входе captive-portal Zyxel. Локальная обратная разработка здесь была привязана к WAX650S V7.10(ABRM.4)C0: браузер выполнял этап идентификации на стороне Facebook, затем отправлял fb_user и связанные поля в /cgi-bin/social_login.cgi, а серверная часть принимала эти поля на поверхности пропуска аутентификации.

Консультация Zyxel от 2026-08-04 позднее расширила затронутый перечень до 39 моделей: 36 точек доступа, 2 устройства FWA7 и 1 защитный маршрутизатор.

Файлы

• index.html: автономное публичное HTML-описание
• writeup.md: исходный код описания в Markdown
• poc/verify_social_login.sh: быстрый инструмент проверки прямых сформированных POST-запросов к /cgi-bin/social_login.cgi
• evidence/social_login_static_trust_boundary_20260501.md: сводка по доверительной границе
• evidence/social_login_client_side_trust_architecture_20260501.md: заметки о потоке от фронтенда к бэкенду
• evidence/mod_auth_zyxel_social_gate_20260501.md: анализ пропуска аутентификации
• decomp/social_login_20260501.c: декомпилированный путь CGI, использованный в локальной проверке

Быстрая проверка

chmod +x poc/verify_social_login.sh
./poc/verify_social_login.sh <device_ip> [fb_user]

Ожидаемый сигнал успеха:

Set-Cookie: authtok=

Примечания

• Только авторизованное тестирование.
• PoC намеренно узкий: он проверяет, может ли сформированный POST-запрос до аутентификации достичь пути выдачи cookie гостевой сессии.
• Более широкое обсуждение последующего воздействия задокументировано в описании и файлах с доказательствами, а не втиснуто в скрипт проверки.
• Для более глубокого пути эмуляции и повторного размещения см. https://github.com/minanagehsalalma/zyxel-wax650s-research-notebook-public.