CVE-2026-32662该漏洞源于 myGardyn 设备在生产环境中错误地保留了镜像生产功能的开发和测试 API 端点。这些端点通常缺乏生产环境应有的严格安全控制,且无需认证。攻击者可利用此漏洞通过网络直接访问这些接口,获取设备敏感信息或调用特定功能,造成信息泄露风险,对设备机密性构成威胁。
漏洞的根本原因在于软件开发生命周期(SDLC)中的发布阶段未能彻底清理测试代码。myGardyn 设备固件中包含了一组用于内部调试、压力测试和功能验证的 API 接口。在正常的生产部署中,这些接口应当被严格禁用或完全移除。然而,在该受影响版本中,这些接口意外地处于活跃状态,且暴露在公网或局域网中。由于 CVSS 向量显示 PR:N(无需权限)和 AC:L(攻击复杂度低),远程攻击者无需任何凭证即可向这些端点发送恶意数据包。攻击者可以通过构造特定的 HTTP 请求,访问 /api/test、/debug 或类似的隐藏路径。虽然该漏洞主要影响机密性(C:L),导致可能泄露设备配置、用户数据、传感器读数或内部运行状态,但并未直接破坏系统完整性或可用性。利用该漏洞不需要用户交互,使其易于被自动化扫描工具探测并大规模利用,增加了物联网设备被僵尸网络控制的风险。