CVE-2026-25197：通过用户可控密钥绕过授权（IDOR）

安全公告

产品

概述

两个 REST API 端点会在没有逐用户授权检查的情况下返回用户数据：

• /api/users 返回完整用户列表，无需任何身份验证。
• /api/user/{id} 返回由 {id} 标识的用户资料，且不验证请求方是否有权访问该用户记录。

用户标识符为连续整数，攻击者可通过 /api/user/{id} 端点枚举全部 134,215+ 个用户账户及其关联设备。

漏洞详情

未认证用户列表

/api/users 端点接受未经身份验证的请求并返回完整用户列表。该端点不执行任何身份验证、速率限制或访问日志记录。

GET [REDACTED — Cloud API host]/api/users
Authentication: NONE

用户资料端点 — IDOR

/api/user/{id} 端点将用户 ID 作为路径参数，返回对应用户的资料。该端点不执行任何授权检查来验证请求方是否与所请求的用户相关联。用户 ID 为连续整数。

GET [REDACTED — Cloud API host]/api/user/{user_id}

每个用户暴露的数据：

可预测的摄像头图像 URL

摄像头图像 URL 遵循可预测的模式，包含连续的用户 ID、设备 ID 和时间戳。一旦通过 IDOR 获取用户和设备 ID，攻击者即可构造有效 URL，在无需额外身份验证的情况下访问任意用户的摄像头图像。Gardyn 摄像头仅拍摄静态图像——不记录或暴露任何音频流。

影响

• 通过连续枚举导致 134,215+ 名用户的 PII 泄露
• 可访问约 115,000 个 Gardyn 摄像头的室内摄像头图像
• 完整的用户与设备映射关系使定向攻击成为可能
• 两个独立攻击向量：/api/users（无认证，完整用户列表）和 /api/user/{id}（顺序 IDOR，任意用户数据）
• 大规模隐私侵犯——姓名、邮箱、实际地址、设备数据、摄像头图像

适用于此类端点的 Azure 服务

修复建议

Gardyn 建议升级到 Cloud API 2.12.2026 或更高版本。更多信息请参见 https://mygardyn.com/security/。

建议设备所有者采取的缓解措施：

• 将 Gardyn 设备隔离在专用 VLAN 或 IoT 网段中
• 考虑内置摄像头是否会拍摄家中的敏感区域

建议供应商采取的修复措施：

1. 对所有用户和设备数据端点实施适当的授权检查
2. 将连续整数 ID 替换为不可枚举的标识符（UUID）
3. 在返回数据前验证已认证用户是否拥有所请求的资源
4. 轮换 API 凭据并从 Firebase Remote Config 中移除
5. 对用户/设备查询端点实施速率限制
6. 审计访问日志中是否存在枚举模式

时间线

参考链接

• CVE-2026-25197——CVE 记录
• ICSA-26-055-03
• CWE-639：通过用户控制的密钥绕过授权

致谢

由 Michael Groberman — Gr0m 报告给 CISA。