-
22 september 2026 om 09:53 | person_outline 22
Onderzoeker ontdekt kritieke zwakheden in ZTE SmartLife app die leidden tot mogelijke accountovernames.
Beveiligingsonderzoeker Mina Nageh Salama heeft vier ernstige kwetsbaarheden ontdekt in de ZTE SmartLife mobiele applicatie. De meest kritieke van deze vondsten, geïdentificeerd als CVE-2026-86553, had een CVSS-score van 8.8 en betrof versies 2.8.2 en eerdere edities van de app.
Deze kwetsbaarheid maakte het mogelijk om wachtwoorden te herstellen met enkel een account-ID en een nieuw wachtwoord, zonder enige vorm van verificatie van het eigendom van het account of een resetcode. Het achterliggende systeem van SmartLife accepteerde dergelijke verzoeken zonder de noodzakelijke server-side verificatiestap, zoals een authenticatiecode.
Een andere ontdekte zwakheid, CVE-2026-86554, betrof e-mailenumeratie via de `/account/verify.serv` interface. Hierdoor konden aanvallers controleren of een e-mailadres geregistreerd was. Indien dit het geval was, werd het bijbehorende account-ID prijsgegeven. Dit verhoogde de mogelijkheden voor kwaadwillenden om wachtwoorden te herstellen.
Met het verkregen account-ID en vervalste authenticatiegegevens konden aanvallers succesvol wachtwoorden van slachtoffers resetten, met als gevolg mogelijke accountovernames. Kwetsbaarheid CVE-2026-86555 had betrekking op een hardgecodeerde sleutel in de SmartLife applicatie, die kon worden gebruikt om gevoelige account-serverinformatie te ontsleutelen. Het backend-systeem vertrouwde te veel op authenticatie op applicatieniveau voor kritieke accountacties, wat bijdroeg aan deze risico's.
De ontdekking van deze zwakheden kon leiden tot blootstelling van gebruikers-verbonden thuisomgevingen, aangezien de applicatie huis- en apparaatconfiguraties beheert. ZTE heeft vier CVE's uitgegeven en bevestigd dat alle geïdentificeerde problemen zijn verholpen. Op 20 september 2026 heeft ZTE adviezen uitgegeven en alle gerapporteerde problemen gepatcht. Gebruikers wordt aangeraden de nieuwste versie van de SmartLife applicatie te installeren en wachtwoorden te wijzigen. Tevens wordt geadviseerd om verbonden apparaten en gedeelde gezinsleden te controleren.
Deze kwetsbaarheid maakte het mogelijk om wachtwoorden te herstellen met enkel een account-ID en een nieuw wachtwoord, zonder enige vorm van verificatie van het eigendom van het account of een resetcode. Het achterliggende systeem van SmartLife accepteerde dergelijke verzoeken zonder de noodzakelijke server-side verificatiestap, zoals een authenticatiecode.
Een andere ontdekte zwakheid, CVE-2026-86554, betrof e-mailenumeratie via de `/account/verify.serv` interface. Hierdoor konden aanvallers controleren of een e-mailadres geregistreerd was. Indien dit het geval was, werd het bijbehorende account-ID prijsgegeven. Dit verhoogde de mogelijkheden voor kwaadwillenden om wachtwoorden te herstellen.
Met het verkregen account-ID en vervalste authenticatiegegevens konden aanvallers succesvol wachtwoorden van slachtoffers resetten, met als gevolg mogelijke accountovernames. Kwetsbaarheid CVE-2026-86555 had betrekking op een hardgecodeerde sleutel in de SmartLife applicatie, die kon worden gebruikt om gevoelige account-serverinformatie te ontsleutelen. Het backend-systeem vertrouwde te veel op authenticatie op applicatieniveau voor kritieke accountacties, wat bijdroeg aan deze risico's.
De ontdekking van deze zwakheden kon leiden tot blootstelling van gebruikers-verbonden thuisomgevingen, aangezien de applicatie huis- en apparaatconfiguraties beheert. ZTE heeft vier CVE's uitgegeven en bevestigd dat alle geïdentificeerde problemen zijn verholpen. Op 20 september 2026 heeft ZTE adviezen uitgegeven en alle gerapporteerde problemen gepatcht. Gebruikers wordt aangeraden de nieuwste versie van de SmartLife applicatie te installeren en wachtwoorden te wijzigen. Tevens wordt geadviseerd om verbonden apparaten en gedeelde gezinsleden te controleren.
Facts
1. Beveiligingsonderzoeker Mina Nageh Salama ontdekte vier kritieke kwetsbaarheden in de ZTE SmartLife mobiele applicatie.
2. De meest ernstige kwetsbaarheid, met de identificatiecode CVE-2026-86553, had een CVSS-score van 8.8. Deze trof ZTE SmartLife versies 2.8.2 en eerdere edities.
3. Deze kwetsbaarheid maakte het mogelijk om wachtwoorden te herstellen met enkel een account-ID en een nieuw wachtwoord, zonder verdere verificatie van het eigendom van het account of een resetcode.
4. Het achterliggende systeem (backend) van SmartLife accepteerde een wachtwoordherstelverzoek op basis van enkel een account-ID en een nieuw wachtwoord. Hierbij ontbrak een server-side verificatiestap, die normaal gesproken een code of een andere vorm van gebruikersauthenticatie vereist.
5. Een andere kwetsbaarheid, CVE-2026-86554, betrof e-mailenumeratie. Aanvallers konden via de `/account/verify.serv` interface controleren of een e-mailadres geregistreerd was.
6. Wanneer een e-mailadres geregistreerd was, gaf de backend het bijbehorende account-ID prijs. Dit vergrootte de mogelijkheden voor aanvallers om wachtwoorden te herstellen.
7. Met het verkregen account-ID en vervalste authenticatiegegevens konden aanvallers het wachtwoord van het slachtoffer succesvol resetten, wat leidde tot mogelijke accountovernames.
8. Kwetsbaarheid CVE-2026-86555 betrof een hardgecodeerde sleutel in de SmartLife applicatie. Deze sleutel kon gebruikt worden om gevoelige account-serverinformatie te ontsleutelen.
9. Het backend-systeem vertrouwde te veel op authenticatie op applicatieniveau voor kritieke accountacties, wat bijdroeg aan de beveiligingsrisico's.
10. De ontdekking van deze kwetsbaarheden kon leiden tot blootstelling van gebruikers-verbonden thuisomgevingen, aangezien de applicatie huis- en apparaatconfiguraties beheert.
11. ZTE heeft vier CVE's uitgegeven en bevestigd dat alle geïdentificeerde problemen zijn verholpen.
12. Op 20 september 2026 heeft ZTE adviezen uitgegeven en alle gerapporteerde problemen gepatcht.
13. Gebruikers wordt aangeraden de nieuwste versie van de SmartLife applicatie te installeren en wachtwoorden te wijzigen.
14. Tevens wordt geadviseerd om verbonden apparaten en gedeelde gezinsleden te controleren.
Popup content goes here.
Nog geen account? Klik hier om te registreren!
Met een account heeft u de mogelijkheid om het gehele nieuwsoverzicht te bekijken en op ieder artikel een reactie-icoon te geven.
Met Newsfacts.info kunt u op de hoogte blijven van de laatste ontwikkelingen, zonder veel tijd te besteden aan het volgen van het nieuws. Ontdek vandaag nog de voordelen van Newsfacts.info!
Login
-
Gebruikersnaam
-
Wachtwoord