CVE-2026-36438Intelbras VIP-1230-D-G4设备V2.800.00IB00C.0.T版本存在信息泄露漏洞。由于/OutsideCmd路径下的密码重置功能存在权限配置错误,未经身份认证的远程攻击者可利用该漏洞直接获取设备敏感信息,严重威胁用户数据隐私及系统机密性。
该漏洞的核心在于Intelbras VIP-1230-D-G4设备Web服务器对/OutsideCmd目录下密码重置接口的访问控制失效。在受影响版本V2.800.00IB00C.0.T中,该接口未在处理请求前验证用户的会话状态或身份凭证。攻击者只需向目标服务器发送特定的HTTP请求至该端点,即可触发后端逻辑。由于缺乏必要的输入验证和权限检查,服务器会将本应受保护的敏感信息(如密码重置令牌或用户数据)直接返回给请求者。这种漏洞利用了业务逻辑中的设计缺陷,使得攻击者能够以极低的成本获取关键信息,进而可能发起更高级的攻击,如完全接管设备账户。此类漏洞在IoT设备中较为常见,通常源于开发过程中对安全性的忽视。