CVE-2026-63286
Publiée le 2026-10-28 · Dernière modification le 2026-10-28
AXIS Camera Station Pro, un logiciel de gestion vidéo utilisé pour la surveillance de caméras réseau, présente une faille dans sa manière de gérer les sauvegardes de la base de données. Le système stocke des informations sensibles dans des fichiers de sauvegarde avec une protection insuffisante, les rendant vulnérables à une analyse hors ligne. Étant donné que le processus de mise à jour génère automatiquement une dernière sauvegarde vulnérable pour la récupération, les archives créées précédemment restent un risque même après l'application du correctif.
Un attaquant ayant un accès local au serveur et des privilèges d'utilisateur de bas niveau peut extraire ces sauvegardes pour compromettre la confidentialité et l'intégrité de la base de données. Cela lui permet de récupérer des identifiants stockés ou de modifier des données système sans nécessiter d'authentification supplémentaire ni d'interaction de l'utilisateur. Bien que l'attaque nécessite un accès physique ou un accès shell distant au système de fichiers, sa faible complexité en fait un processus simple une fois les fichiers obtenus.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Database backups are vulnerable to offline attacks. Backups created using a version prior to the patched version are still vulnerable. AXIS Camera Station Pro automatically creates one more such backup for recovery purpose when the update is applied. Delete all these backups and change the credentials stored in AXIS Camera Station Pro.