展开抓取的正文（本地存档，已排版）
摘要
成功利用这些漏洞可能允许攻击者操纵设备配置、触发未经授权的行為，并在未获适当授权的情况下访问敏感信息，如设备凭据、所有者详细信息和网络数据。
以下版本的 Meari IoT Cloud Platform OpenAPI Service 受到影响：
- IoT Cloud Platform OpenAPI Service vers:all/* (CVE-2026-101104, CVE-2026-96613)
CVSS
厂商
设备
漏洞
v3 7.7
Meari
Meari IoT Cloud Platform OpenAPI Service
缺少授权
背景
- 关键基础设施部门： 商业设施，信息技术
- 部署国家/地区： 全球
- 公司总部所在地： 中国
漏洞
CVE-2026-101104
Meari IoT Cloud Platform OpenAPI Service 存在授权缺陷，允许已认证用户操纵他们不拥有的设备的配置。此漏洞使攻击者能够执行未经授权的行动，例如更改设备设置或触发意外行为，而无需验证所有权或权限。
受影响产品
Meari IoT Cloud Platform OpenAPI Service
厂商：
Meari
产品版本：
Meari IoT Cloud Platform OpenAPI Service: vers:all/*
产品状态：
known_affected
相关 CWE： CWE-862 缺少授权
指标
CVSS 版本
基础分数
基础严重性
向量字符串
3.1
7.7
HIGH
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:N
4.0
6.3
MEDIUM
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:N/SC:N/SI:H/SA:N
CVE-2026-96613
Meari IoT Cloud Platform OpenAPI Service 存在授权缺陷，允许已认证用户通过指定设备 ID 访问任何设备的完整设备影子。此漏洞会暴露敏感信息，如设备凭据、所有者详细信息、网络数据和遥测数据，而无需验证请求者与目标设备之间的关系。
受影响产品
Meari IoT Cloud Platform OpenAPI Service
厂商：
Meari
产品版本：
Meari IoT Cloud Platform OpenAPI Service: vers:all/*
产品状态：
known_affected
相关 CWE： CWE-862 缺少授权
指标
CVSS 版本
基础分数
基础严重性
向量字符串
3.1
6.5
MEDIUM
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
4.0
7.1
HIGH
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
致谢
- Gabriel Adams 向 CISA 报告了这些漏洞
法律声明和使用条款
本产品受本通知 (https://www.cisa.gov/notification) 和隐私及使用政策 (https://www.cisa.gov/privacy-policy) 约束。
推荐做法
CISA 建议用户采取防御措施，以最大限度地降低利用这些漏洞的风险。
- 最小化所有控制系统设备和/或系统的网络暴露，确保它们无法从互联网访问。
- 将控制系统网络和远程设备置于防火墙之后，并将其与业务网络隔离。
- 当需要远程访问时，使用更安全的方法，例如虚拟专用网络 (VPN)，认识到 VPN 可能存在漏洞，应更新至可用的最新版本。同时认识到 VPN 的安全性仅取决于所连接的设备。
CISA 提醒组织在部署防御措施之前进行适当的影響分析和风险评估。
CISA 还在 cisa.gov/ics 的 ICS 网页上提供了控制系统安全推荐做法部分。有几款 CISA 产品详细介绍了网络防御最佳实践，可供阅读和下载，包括《利用纵深防御策略改进工业控制系统网络安全》。
CISA 鼓励组织实施推荐的网络安全策略，以主动防御 ICS 资产。
有关额外缓解指南和推荐做法，可在 cisa.gov/ics 的 ICS 网页上的技术信息论文 ICS-TIP-12-146-01B--针对网络入侵的检测和缓解策略中公开获取。
组织若观察到疑似恶意活动，应遵循既定的内部程序，并将发现报告给 CISA 以进行跟踪并与其他事件进行关联。
目前尚未向 CISA 报告任何专门针对这些漏洞的已知公开利用情况。
修订历史
- 初始发布日期： 2026-10-01
日期
修订版
摘要
2026-10-01
1
首次发布