Kerngegevens
Simpel uitgelegd
Wat is er aan de hand?
In airMAX M-apparaten van Ubiquiti zit een stored cross-site scripting-fout (XSS). Daarbij wordt kwaadaardige code opgeslagen op het apparaat en later uitgevoerd. Een aanvaller kan hiermee onder bepaalde voorwaarden meer rechten op het apparaat krijgen dan de bedoeling is. De leverancier heeft een opgeloste versie uitgebracht.
Wie loopt risico?
Je loopt risico als je airMAX M-apparaten gebruikt met een versie ouder dan 6.3.26. De aanvaller moet toegang hebben tot hetzelfde of een aangrenzend netwerk als het apparaat, dus dit lek is niet rechtstreeks vanaf internet te misbruiken. Voor een geslaagde aanval moet bovendien een gebruiker iets doen. Er is geen aanwijzing dat het lek actief wordt misbruikt.
Wat moet je doen?
Controleer je apparaten
Ga na of je airMAX M-apparaten gebruikt en welke versie erop draait. Versies tot 6.3.26 zijn getroffen.
Werk bij naar 6.3.26
Installeer versie 6.3.26 of nieuwer volgens de instructies van Ubiquiti in het advies van de leverancier.
Beperk toegang tot het netwerk
Zorg dat alleen vertrouwde apparaten en personen toegang hebben tot het netwerk waarop de apparaten zitten, en tot de beheerpagina's.
Lees het advies van de leverancier
Het advies van Ubiquiti behandelt mogelijk ook andere lekken. Controleer of de update voor jouw apparaten alles afdekt.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-116837, CVE-2026-116838, CVE-2026-116839. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een stored cross-site scripting-kwetsbaarheid (CWE-79) in airMAX M-apparaten. Invoer wordt niet goed gefilterd of neutraal gemaakt voordat die als webpagina-inhoud wordt weergegeven, waardoor kwaadaardige scriptcode kan worden opgeslagen en later in de browser van een gebruiker wordt uitgevoerd. De aanvalsroute is aangrenzend (AV:A): de aanvaller heeft toegang nodig tot het aangrenzende netwerk. Er zijn geen voorafgaande rechten nodig, maar een gebruiker moet iets doen (UI:R). De scope verandert bij misbruik (S:C), met grote gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid. De CNA geeft de kwetsbaarheid CVSS 3.1-score 8,8. De fout is opgelost in versie 6.3.26.
CVSS-vector (versie 3.1, basisscore 8,8, bron: CNA)
CVSS:3.1/AV:A/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-79 · Cross-site scripting (XSS): onjuiste neutralisatie van invoer bij het genereren van webpagina's
- Aanvalsroute
- Vanaf hetzelfde netwerk
- Aanvalscode openbaar
- Nee