CWE-1391 · Использование слабых учётных данных

Сканер-ВСкаталог уязвимостей · v4.2

Главная Каталог Источники CWE CAPEC ATT&CK Меры защиты Продукты Вендоры Документация

← Вернуться к списку

CWE-1391КлассНеполный

Абстракция: Класс

Статус: Неполный

Источник ↗

Использование слабых учётных данных

Продукт использует слабые учётные данные (например, ключ по умолчанию или жёстко закодированный пароль), которые злоумышленник может вычислить, вывести, повторно использовать или угадать.

Открыть в каталоге с фильтром CWE →

Связанные CAPEC

—

Связанные уязвимости

CVE-2026-22886OpenMQ представляет услугу управления на основе TCP (imqbrokerd), которая по умолчанию требует Аутентификация. Однако товар поставляется с административным счетом по умолчанию (admin/ admin) и не обеспечивает обязательное изменение пароля при первом использовании. После первого Успешный вход, сервер продолжает принимать пароль по умолчанию бессрочно без Предупреждение или правоприменение. В реальных развертываниях эта служба часто остается включенной без изменения по умолчанию. Полномочия. В результате удаленный злоумышленник с доступом к служебному порту мог аутентифицироваться как администратор и получить полный контроль над административными функциями протокола.

CVE-2025-67114Использование алгоритма детерминирования генерации учетных данных в /ftl/bin/calc_f2 в прошивке Small Cell Sercomm SCE4255W (FreedomFi Englewood) до DG3934v3@2308041842 позволяет удаленным злоумышленникам получать действительные административные/корневые учетные данные из MAC-адреса устройства, обеспечивая обход аутентификации и полный доступ к устройству.

CVE-2025-6077По всем версиям Программного продукта Partner Software и соответствующего Приложения Partner Web используются одинаковые имя пользователя и пароль для администратора по умолчанию.

CVE-2024-51978Неаутентифицированный злоумышленник, который знает серийный номер целевого устройства, может сгенерировать пароль администратора по умолчанию для устройства. Неаутентифицированный злоумышленник может сначала обнаружить серийный номер целевого устройства через CVE-2024-51977 по HTTP/HTTPS/IPP, или через запрос PJL, или через запрос SNMP.

CVE-2024-12728Уязвимость со слабыми учетными данными потенциально позволяет получить привилегированный системный доступ через SSH к Sophos Firewall версий старше 20.0 MR3 (20.0.3).

CVE-2023-31240Версии Snap One OvrC Pro до 7.2 имеют собственный локально работающий веб-сервер, доступный как из локальной сети, так и удаленно. OvrC cloud содержит скрытую учетную запись суперпользователя, доступную через жестко закодированные учетные данные.

CVE-2023-0635Уязвимость неправильного управления привилегиями в ABB Ltd. ASPECT®-Enterprise на ASPECT®-Enterprise, Linux (модули 2CQG103201S3021, 2CQG103202S3021, 2CQG103203S3021, 2CQG103204S3021), ABB Ltd. NEXUS Series на NEXUS Series, Linux (модули 2CQG100102R2021, 2CQG100104R2021, 2CQG100105R2021, 2CQG100106R2021, 2CQG100110R2021, 2CQG100112R2021, 2CQG100103R2021, 2CQG100107R2021, 2CQG100108R2021, 2CQG100109R2021, 2CQG100111R2021, 2CQG100113R2021), ABB Ltd. MATRIX Series на MATRIX Series, Linux (модули 2CQG100102R1021, 2CQG100103R1021, 2CQG100104R1021, 2CQG100105R1021, 2CQG100106R1021) позволяет повысить привилегии. Эта проблема затрагивает ASPECT®-Enterprise: с 3.0;0 до 3.07.01; NEXUS Series: с 3.0;0 до 3.07.01; MATRIX Series: с 3.0;0 до 3.07.01.

CVE-2025-6523Использование слабых учетных данных в компоненте аварийной аутентификации Devolutions Server позволяет неаутентифицированному злоумышленнику обойти аутентификацию путем подбора коротких аварийных кодов, созданных сервером, в течение реализуемого времени. Эта проблема затрагивает следующие версии: * Devolutions Server 2025.2.2.0 по 2025.2.3.0 * Devolutions Server 2025.1.11.0 и более ранние версии

CVE-2026-8076Слабые учетные данные в панели веб-администрирования CashDro 3, версия 24.01.00.26, где платформа позволяет использовать числовые PIN-коды для аутентификации пользователя. Система поддерживает использование учетных данных на основе PIN, поддерживая совместимость с POS-программными интеграциями, развернутыми с 2012 года. Это может позволить злоумышленнику легко выполнить атаку грубой силы против пользователя и получить доступ, пробуя различные PIN-коды без блокировки учетной записи. Успешное использование этой уязвимости может привести к несанкционированному доступу к конфиденциальным параметрам конфигурации, что поставит под угрозу безопасность системы.

CVE-2025-30519Устройства Dover Fueling Solutions ProGauge MagLink LX4 имеют учетные данные root по умолчанию, которые нельзя изменить с помощью стандартных административных средств. Злоумышленник с сетевым доступом к устройству может получить административный доступ к системе [1]. Уязвимость связана с использованием слабых учетных данных (CWE-1391). Успешная эксплуатация этой уязвимости может привести к тому, что злоумышленник получит административный доступ к устройству. Рекомендуется обновить устройства ProGauge MagLink до версии 4.20.3 или более поздней для моделей MagLink LX 4 и MagLink LX Plus, и до версии 5.20.3 или более поздней для устройств MagLink LX Ultimate. Также рекомендуется устанавливать программное обеспечение за межсетевым экраном, чтобы минимизировать риск удаленных атак [1]. Источники: - [1] https://www.cisa.gov/news-events/ics-advisories/icsa-25-261-07 - [2] https://www.doverfuelingsolutions.com/mea/en/products-and-solutions/automatic-tank-gauging/consoles/progauge-maglink-lx-4-console.html

CVE-2024-43698Серия Kieback & Peter DDC4000 использует слабые учетные данные, что может позволить не прошедшему проверку подлинности злоумышленнику получить полные права администратора в системе.

CVE-2025-59103Диспетчер доступа 92xx в аппаратном случае K7 основан на Linux вместо Windows CE, встроенный в более старые аппаратные ревизии. В этом новом аппаратном случае был замечен, что служба SSH подвергается воздействию на порт 22. Анализируя прошивку устройств, было замечено, что есть два пользователя с жестким и слабым паролями, которые можно использовать для доступа к устройствам через SSH. Пароли также можно легко угадать. Пароль по крайней мере одного пользователя устанавливается на случайное значение после первого развертывания, с ограничением, что пароль рандомизирован только в том случае, если настроенная дата до 2022 года. Поэтому при определенных обстоятельствах пароли не рандомизированы. Например, если часы никогда не устанавливаются на устройстве, то батарея часового модуля была изменена, диспетчер доступа был заводской сброс и еще не получил времени.

CVE-2026-22910Устройство развернуто со слабыми и общедоступными паролями по умолчанию для определенных скрытых уровней пользователей, увеличивая риск несанкционированного доступа. Это представляет высокий риск для целостности системы.

CVE-2024-29071HGW BL1500HM версии 002.001.013 и более ранние содержат проблему использования слабых учетных данных. Злоумышленник, находящийся в той же сети и не прошедший проверку подлинности, может изменять настройки системы.

CVE-2023-48257Уязвимость позволяет удаленному злоумышленнику получить доступ к конфиденциальным данным внутри экспортированных пакетов или получить удаленное выполнение кода (RCE) с привилегиями root на устройстве. Уязвимость может быть использована непосредственно аутентифицированными пользователями, через специально созданные HTTP-запросы, или косвенно не аутентифицированными пользователями, получив доступ к уже экспортированным пакетам резервных копий, или создав пакет импорта и склонив аутентифицированную жертву к отправке запроса HTTP-загрузки.