Ubiquiti - CVE-2026-50746
Date de publication :
Il s'agit d'une vulnérabilité de contrôle d'accès incorrect au sein de l'application UniFi Connect.
UniFi Connect Application est un logiciel de gestion centralisée pour les dispositifs d'affichage et de signalétique numérique de la gamme UniFi Connect. Il permet le déploiement, la configuration à distance et le pilotage de contenus diffusés sur des écrans connectés au sein d'un réseau UniFi.
La faille provient d'une absence de vérification des autorisations sur une fonctionnalité réseau exposée par l'application. Cette fonctionnalité est accessible sans authentification préalable. Un attaquant disposant d'un simple accès réseau à l'interface peut soumettre des commandes système forgées. Ces commandes sont directement interprétées par le dispositif hôte, sans contrôle de légitimité ni filtrage préalable. La chaîne complète repose ainsi sur une injection de commande rendue possible par ce défaut de cloisonnement des autorisations.
Elle permet l'exécution de code arbitraire à distance avec les privilèges du processus applicatif, pouvant conduire à une prise de contrôle complète du dispositif hôte.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-284 : Improper Access Control
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
UniFi Connect Application versions 3.4.16 et antérieures.