CVE-2026-4584深圳恒诚科技(HCC)生产的MPOS M6 PLUS设备(固件版本1V.31-N)中存在一个安全缺陷,主要影响其持卡人数据处理组件。由于缺乏必要的加密机制,该设备在传输过程中会以明文形式泄露敏感信息。攻击者利用此漏洞可以拦截并获取敏感数据。成功利用此漏洞需要攻击者具备访问本地网络的能力,且具有较高的攻击复杂度。目前厂商已收到相关披露通知,但尚未提供任何修复方案或回应。
该漏洞位于Shenzhen HCC Technology MPOS M6 PLUS设备的“持卡人数据处理组件”中。由于组件在传输敏感数据时未实施有效的加密协议(如TLS/SSL),导致数据以明文形式在网络中传输。根据CVSS向量分析,攻击向量为邻接网络(AV:A),意味着攻击者必须位于本地网络或能够物理接入网络链路。攻击复杂度(AC:H)较高,可能涉及特定的网络环境配置或时序要求。尽管CVSS评分将机密性影响定为低(C:L),但考虑到该设备为金融支付终端,明文传输持卡人数据违反了PCI-DSS等支付行业安全标准,实际风险可能高于评分。此外,厂商未对此漏洞做出响应,导致用户面临持续的暴露风险。