FICHE CVE

CVE-2026-50086

Publiée le 2026-06-12 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

La passerelle IAM/SSO d'Aqara est affectée par une faille qui permet à un attaquant distant non authentifié d'effectuer des opérations cryptographiques en utilisant la clé de signature de la plateforme. Un attaquant peut exploiter cette vulnérabilité pour compromettre la confidentialité, l'intégrité et la disponibilité du système, prenant potentiellement le contrôle total de l'environnement concerné. Cette attaque est facile à exécuter car elle ne nécessite aucune authentification préalable, aucune interaction de l'utilisateur, ni de privilèges particuliers.

CVSS 3.110.0 CRITIQUE

Type de faiblesse

Cryptographie cassée ou risquée · CWE-327

Publiée2026-06-12

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

The Aqara IAM/SSO gateway (gw-builder.aqara.com) exposes bidirectional AES round-trups against the platform's signing key without authentication. This is an instance of "CWE-306: Missing Authentication for Critical Function" and "CWE-327: Use of a Broken or Risky Cryptographic Algorithm," and has an estimated CVSS of CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N (7.5 High).