Avis de sécurité des fabricants
Les failles publiées par les fabricants pour les produits et logiciels que nous vendons, avec la version qui les corrige. Vérifié le 27 octobre 2026.
Les bons réflexes
- Mettez à jour le micrologiciel des appareils et les logiciels avec la version corrigée du fabricant.
- Changez les mots de passe par défaut et utilisez un mot de passe différent par appareil.
- N'exposez pas les enregistreurs et les serveurs directement sur Internet : passez par le service du fabricant ou un VPN.
- Contactez-nous si vous ne savez pas quelle version est installée : nous vous indiquons la démarche.
21 octobre 2026 · TP-Link · TP-Link FAQ 5356
Security Advisory: Hardcoded AES encryption key in Archer C6 (CVE-2026-89052)
Une clé de chiffrement AES identique sur tous les appareils permet, à qui obtient le fichier de configuration chiffré, de retrouver des identifiants en clair sur l'Archer C6 (matériel V2). Le fabricant indique qu'elle est corrigée dans le firmware 1.2.1 Build 260902.
- Concerné
- Archer C6, hardware version V2
- Correction
- Firmware 1.2.1 Build 260902
- Gravité
- CVSS v4.0 score 5.9 (Medium)
- Chez nous
- Archer C6
- À faire
- Vérifier la version matérielle du routeur (V2 concernée), puis installer le firmware 1.2.1 Build 260902 ou plus récent depuis le site de TP-Link.
CVE-2026-89052 Avis officiel du fabricant
6 octobre 2026 · TP-Link · TP-Link FAQ 4910
Security Advisory on Cross-Site Scripting Vulnerability on Omada Controllers (CVE-2025-9289), and Authentication Weakness on Omada Controllers, Gateways and Access Points (CVE-2025-9290)
Une faille XSS (contrôleurs Omada) et une faiblesse d'authentification lors de l'adoption des équipements (contrôleurs, passerelles et bornes) concernent notamment le contrôleur OC300 et la borne EAP653 UR. Le fabricant publie des firmwares corrigés et conseille de changer le mot de passe après la mise à jour.
- Concerné
- OC300: Omada controller version < 6.0.0.34 (CVE-2025-9289 and CVE-2025-9290); EAP653 UR v1.0: firmware < 1.4.2 Build 20251208 Rel. 43830 (CVE-2025-9290); other controllers, gateways and EAP models listed in the advisory
- Correction
- OC300(UN)_V1.6_1.31.9 Build 20251027 (OC300); EAP653 UR: 1.4.2 Build 20251208 Rel. 43830 or later
- Gravité
- CVSS v4.0 scores: CVE-2025-9289 5.7 (Medium); CVE-2025-9290 6.0 (Medium)
- Chez nous
- OC300 · EAP653 UR
- À faire
- Mettre à jour le firmware depuis le centre de téléchargement Omada, puis changer le mot de passe, comme le recommande le fabricant.
CVE-2025-9289 CVE-2025-9290 Avis officiel du fabricant
21 septembre 2026 · TP-Link · TP-Link FAQ 5287
Security Advisory: Unauthenticated Account Information Disclosure in multiple Omada Controllers (CVE-2026-81531)
Un point d'accès d'initialisation du contrôleur Omada reste accessible après la configuration et peut révéler des informations de comptes à un utilisateur non authentifié. Pour l'OC300 (V1), le fabricant indique une correction dans le firmware 1.36.10 Build 20260825.
- Concerné
- Omada hardware controllers including OC300(UN)_V1, and Omada Controller for Windows & Linux (see the advisory)
- Correction
- OC300(UN)_V1: firmware 1.36.10 Build 20260825; Omada Controller for Windows & Linux: 6.3.0.45
- Gravité
- CVSS v4.0 score 6.9 (Medium)
- Chez nous
- OC300
- À faire
- Mettre à jour l'OC300 vers le firmware 1.36.10 Build 20260825 ou plus récent.
CVE-2026-81531 Avis officiel du fabricant
10 septembre 2026 · Hikvision · HSRC-202609-01
Security Vulnerabilities in Some Hikvision Intercom Products
Certains interphones Hikvision utilisent une valeur d'usine non modifiable pour leur carte maîtresse, ce qui peut permettre de falsifier une carte et d'obtenir le droit d'émettre des cartes. Le correctif supprime la fonction de carte maîtresse (par exemple V3.7.2_260828 pour DS-KV8413 et V3.7.3_260828 pour DS-KD8003).
- Concerné
- DS-KV9503: V2.3.13 and prior; DS-KV6113 / DS-KV6103 / DS-KV6133 / DS-KV8113 / DS-KV8213 / DS-KV8413: V3.7.0 and prior; DS-KD8003: V3.7.1 and prior; DS-KD8005: V3.10.0 and prior; DS-KV6114 / DS-KV6124 / DS-KV6134: V3.9.0 and prior; DS-KV8114: V3.11.0 and prior
- Correction
- DS-KV9503: V2.3.13_260828; DS-KV6113 / KV6103 / KV6133 / KV8113 / KV8213 / KV8413: V3.7.2_260828; DS-KD8003: V3.7.3_260828; DS-KD8005: V3.10.1_260828; DS-KV6114 / KV6124 / KV6134: V3.9.4_260828; DS-KV8114: V3.11.1_260828. The fixed firmware removes the main card function; if not upgraded, enabling M1 Card Encryption or disabling the contactless function is advised.
- Gravité
- CVSS v3.1 base score 6.1
- Chez nous
- DS-KV8413-WME1(B) · DS-KD8003-IME1
- À faire
- Mettre à jour le firmware depuis le site officiel de Hikvision. En attendant, activer le chiffrement des cartes M1 ou désactiver la fonction sans contact, comme l'indique le fabricant.
CVE-2026-85544 Avis officiel du fabricant
10 septembre 2026 · TP-Link · TP-Link FAQ 5294
Security Advisory: Omada Controller XML External Entity (XXE) Injection in SAML IdP Metadata Parsing Leading to Arbitrary Local File Read (CVE-2026-84941)
Une faille XXE dans l'analyse des métadonnées SAML du contrôleur Omada peut permettre à un utilisateur disposant des droits de configuration SAML de lire des fichiers locaux. Pour l'OC300 (V1), le fabricant indique une correction dans le firmware 1.35.11 Build 20260711.
- Concerné
- OC300 V1 and other Omada hardware and software controllers (see the advisory); a user with SAML configuration privileges is required
- Correction
- OC300 V1: firmware 1.35.11 Build 20260711
- Gravité
- CVSS v4.0 score 6.9 (Medium)
- Chez nous
- OC300
- À faire
- Mettre à jour l'OC300 vers le firmware 1.35.11 Build 20260711 ou plus récent.
CVE-2026-84941 Avis officiel du fabricant
1 septembre 2026 · ZKTeco · Bulletin 26
Notice Regarding Security Vulnerability in ZKBio CVSecurity
Des failles d'accès non autorisé, de traversée de chemin et d'authentification peuvent entraîner des fuites ou des dommages sur les données dans ZKBio CVSecurity 6.8.1 et ZKBio CVAccess 4.4.1 (et versions antérieures). Le fabricant indique qu'elles sont corrigées dans CVSecurity 6.8.2 et CVAccess 4.4.2.
- Concerné
- ZKBio CVSecurity_6.8.1 & ZKBio CVAccess_4.4.1 and earlier versions
- Correction
- ZKBio CVSecurity V6.8.2 & ZKBio CVAccess V4.4.2 version or later
- Chez nous
- ZKBio CVSecurity · ZKBio CVAccess
- À faire
- Utiliser ZKBio CVSecurity 6.8.2 et ZKBio CVAccess 4.4.2 (versions présentées sur notre site) ou plus récentes, après avoir archivé les données. Si la mise à jour n'est pas immédiate, restreindre les accès, comme le recommande le fabricant.
28 août 2026 · TP-Link · TP-Link FAQ 5271
Security Advisory: http_gdpr_decrypt Pre-Authentication Stack-Based Buffer Overflow (CVE-2026-75118)
Un dépassement de pile avant authentification dans l'interface web du routeur TL-MR100 (version matérielle V3.20, EU) peut, depuis le réseau local, provoquer un plantage ou l'exécution de code. Le fabricant indique qu'elle est corrigée dans le firmware 1.3.0 Build 260609.
- Concerné
- TL-MR100 (EU), hardware version V3.20: firmware earlier than 1.3.0 Build 260609
- Correction
- Firmware 1.3.0 Build 260609 or later
- Gravité
- CVSS v4.0 score 8.7 (High)
- Chez nous
- TL-MR100
- À faire
- Installer le firmware 1.3.0 Build 260609 ou plus récent depuis le site de TP-Link.
CVE-2026-75118 Avis officiel du fabricant
25 août 2026 · TP-Link · TP-Link FAQ 5237
Security Advisory: Authenticated Arbitrary File Write vulnerability in multiple devices (CVE-2026-12339)
Une faille de type Zip Slip dans la fonction de mise à jour ISP de l'interface web du TL-MR100 permet à un administrateur authentifié d'écraser des fichiers du système. Le fabricant indique qu'elle est corrigée dans le firmware 1.3.0 Build 260609.
- Concerné
- TL-MR100 V3.2 (the advisory also lists TL-MR6400 V5.3 / V8, Archer MR600 V2, Archer MR200 V7, TL-MR150 V3.2)
- Correction
- TL-MR100 V3.2: firmware 1.3.0 0.9.1 v0001.0 Build 260609 Rel.49957n (customised builds for South Korea are also listed)
- Gravité
- CVSS v4.0 score 6.9 (Medium)
- Chez nous
- TL-MR100
- À faire
- Installer le firmware 1.3.0 Build 260609 (Rel.49957n) ou plus récent depuis le site de TP-Link.
CVE-2026-12339 Avis officiel du fabricant
19 août 2026 · TP-Link · TP-Link FAQ 5253
Security Advisory: Unauthenticated Denial-of-Service Vulnerability in HTTP Service in Multiple TP-Link Routers (CVE-2026-8619)
Une requête HTTP spécialement forgée, envoyée depuis le réseau local sans authentification, peut faire planter le service web du TL-MR100 (version matérielle 3.2). Le fabricant indique qu'elle est corrigée dans le firmware 1.3.0 Build 260609.
- Concerné
- TL-MR100 v3.2 (the advisory also lists Archer MR600 v2, TL-MR150 v3.20, TL-MR6400 v8.0)
- Correction
- TL-MR100(EU)_V3.20_1.3.0 Build 260609 Rel.49957n
- Gravité
- CVSS v4.0 score 7.1 (High)
- Chez nous
- TL-MR100
- À faire
- Installer le firmware TL-MR100(EU)_V3.20_1.3.0 Build 260609 Rel.49957n ou plus récent.
CVE-2026-8619 Avis officiel du fabricant
11 août 2026 · TP-Link · TP-Link FAQ 5216
Security Advisory: Multiple Vulnerabilities in TP-Link Omada Devices (CVE-2025-9291, CVE-2025-15544, CVE-2025-15627 to CVE-2025-15631)
Plusieurs failles touchent les processus d'adoption, de communication et de gestion des identifiants des équipements Omada (contrôleurs, passerelles, switchs, bornes Wi-Fi). L'avis ne liste pas les modèles : il renvoie au centre de téléchargement Omada pour le firmware de chaque modèle.
- Concerné
- Omada product lines: Controllers, Gateways, Switches, Access Points, OLTs and the Omada App (models and firmware versions are not listed in the advisory; see the Omada download center)
- Correction
- Latest firmware available for each model on the Omada download center; both controllers and managed devices must be updated
- Gravité
- CVSS v4.0 scores from 5.7 (Medium) to 8.2 (High)
- Chez nous
- OC300 · EAP603 · EAP613 · EAP653 UR · EAP225 · EAP225-Outdoor · et 5 autres de la même série
- À faire
- Mettre à jour le contrôleur et les équipements gérés avec les derniers firmwares du centre de téléchargement Omada.
CVE-2025-9291 CVE-2025-15544 CVE-2025-15627 CVE-2025-15628 CVE-2025-15629 CVE-2025-15630 Avis officiel du fabricant
27 juillet 2026 · ZKTeco · Bulletin 25
Notice Regarding Security Vulnerability in ZKBio CVSecurity
Une faille de téléchargement arbitraire de fichiers peut entraîner une fuite d'informations dans ZKBio CVSecurity 6.7.2 et les versions antérieures. Le fabricant indique qu'elle est corrigée à partir de la version 6.8.0.
- Concerné
- ZKBio CVSecurity V6.7.2 and earlier versions
- Correction
- ZKBio CVSecurity V6.8.0 version or later
- Chez nous
- ZKBio CVSecurity
- À faire
- Utiliser ZKBio CVSecurity 6.8.2 (version présentée sur notre site) ou plus récente, après avoir archivé les données. Si la mise à jour n'est pas immédiate, restreindre les accès et fermer les ports exposés, comme le recommande le fabricant.
22 juillet 2026 · Hikvision · HSRC-202607-01
Security Vulnerabilities in Some Hikvision Cameras
Hikvision signale plusieurs failles dans certaines caméras (élévation de privilèges après connexion SSH, fuite partielle de données, dépassements de mémoire). L'avis ne liste pas les modèles : la vérification se fait par numéro de série avec l'outil du fabricant.
- Concerné
- Some Hikvision cameras; the advisory does not list models and refers to the official website link (security firmware download page, lookup by serial number)
- Correction
- Firmware via the Hikvision security firmware download page; the Hikvision Delivery Assistant is recommended for batch firmware upgrades
- Gravité
- CVSS v3.1 base scores: CVE-2026-57599 6.6; CVE-2026-57600 7.5; CVE-2026-61390 7.7; CVE-2026-61391 7.2; CVE-2026-61392 5.3
- Chez nous
- DS-2CD1043G2-LIU(F) · DS-2CFSP4/4G · DS-2CD1123G2-LIU · DS-2CD1023G2-LIU · DS-2CD2163G2-LIS2U · DS-2CD1363G2-LIU(F) · et 25 autres de la même série
- À faire
- Vérifier le numéro de série de la caméra avec l'outil de téléchargement de firmware de sécurité de Hikvision, puis mettre à jour ; l'outil Hikvision Delivery Assistant permet la mise à jour groupée.
CVE-2026-57599 CVE-2026-57600 CVE-2026-61390 CVE-2026-61391 CVE-2026-61392 Avis officiel du fabricant
20 mai 2026 · ZKTeco · Bulletin 24
Notice Regarding Security Vulnerability in ZKBio Time
Une faille d'accès non autorisé peut entraîner une fuite d'informations dans ZKBio Time 9.0.1 à 9.0.4 (et dans BioTime 9.5.0 à 9.5.2, version Moyen-Orient). Le fabricant indique qu'elle est corrigée dans la version 9.0.6.
- Concerné
- Prevailing versions ZKBioTime V 9.0.1 to ZKBioTime V 9.0.4; Middle East BioTime V 9.5.0 to BioTime V 9.5.2
- Correction
- Fixed in the prevailing version ZKBioTime 9.0.6; the Middle East BioTime 9.5.X requires a fix pack from the local technical support
- Chez nous
- BioTime · ZKBio Time
- À faire
- Utiliser ZKBio Time 9.0.6, la version proposée sur notre site, ou une version plus récente.
CVE-2025-15128 Avis officiel du fabricant
8 mai 2026 · Hikvision · HSRC-202605-03
Security Vulnerability in Cloud Function Modules of Some Hikvision Products
Les anciennes versions de l'application Hik-Connect (avant V6.11.80) utilisent une API qui peut exposer à l'écoute les données transmises sur le réseau. Le fabricant recommande de mettre l'application à jour et d'activer le chiffrement vidéo.
- Concerné
- HIK-Connect APP: versions below V6.11.80
- Correction
- Upgrade the app to the latest version (app stores or in-app update module) and enable the video encryption function
- Gravité
- CVSS v3.1 base score 5.3
- Chez nous
- Hik-Connect
- À faire
- Mettre à jour Hik-Connect depuis la boutique d'applications (ou via le module de mise à jour intégré) et activer le chiffrement vidéo.
CVE-2026-32683 Avis officiel du fabricant
8 mai 2026 · Hikvision · HSRC-202605-01
Security Vulnerability in HikCentral Professional
Une faille de contrôle d'accès dans certaines versions de HikCentral Professional (V2.4.0 à V3.0.1) pourrait permettre à un utilisateur non authentifié d'obtenir des droits d'administrateur. Le fabricant indique qu'elle est corrigée dans la version V3.1.0.
- Concerné
- HikCentral Professional V2.4.0~V3.0.1
- Correction
- V3.1.0 (to be obtained through the local technical support team; download page linked in the advisory)
- Gravité
- CVSS v3.1 base score 6.8
- Chez nous
- HikCentral Professional
- À faire
- Passer à HikCentral Professional V3.1.0 ou plus récent, via le support technique ou la page de téléchargement indiquée dans l'avis.
CVE-2026-1749 Avis officiel du fabricant
8 mai 2026 · EZVIZ · EZVIZ notice 2026-05-08
Notice Regarding Security Vulnerability in Cloud Feature Modules of Some EZVIZ Products
Les anciennes versions de l'application EZVIZ (iOS avant 7.3.1, Android avant 7.3.0.0210) utilisent une API qui peut exposer à l'écoute les données transmises sur le réseau. Le fabricant recommande de mettre l'application à jour et d'activer le chiffrement vidéo.
- Concerné
- EZVIZ APP: iOS versions prior to 7.3.1; Android versions prior to 7.3.0.0210
- Correction
- Updated EZVIZ App (upgrade the app and enable the video encryption feature)
- Gravité
- CVSS v3.1 base score 5.3
- Chez nous
- CS-H6C-R100-4M · CS-H7C · CS-H3C-R100-1J5WI · CS-H6C-R105-1J5WI · CS-DL05 · CS-H3C · et 3 autres de la même série · EZVIZ App
- À faire
- Mettre à jour l'application EZVIZ depuis la boutique d'applications ou via le module de mise à jour intégré, et activer le chiffrement vidéo.
CVE-2026-32683 Avis officiel du fabricant
22 avril 2026 · TP-Link · TP-Link FAQ 4538
Statement on Hardcoded DES Decryption Keys in TP-Link Archer C50 V3/V4/V5 and C20 V5 (CVE-2025-6982)
Des clés de déchiffrement DES codées en dur permettent de déchiffrer le fichier de configuration config.xml des routeurs Archer C50 V3, V4 et V5, arrivés en fin de vie. Le fabricant ne publie pas de correctif pour l'Archer C50 et recommande de passer à un modèle encore pris en charge.
- Concerné
- Archer C50 V3 (<= 180703), V4 (<= 250117), V5 (<= 200407); Archer C20 V5. These devices have reached end-of-life.
- Correction
- No firmware fix is stated for Archer C50 (end-of-life); the advisory recommends moving to a supported model (Archer C20 V5 has a fixed firmware)
- Gravité
- CVSS v4.0 score 6.9 (Medium)
- Chez nous
- Archer C50
- À faire
- Voir l'avis du fabricant ; protéger le fichier de configuration et envisager le remplacement par un modèle pris en charge.
CVE-2025-6982 Avis officiel du fabricant
13 mars 2026 · TP-Link · TP-Link FAQ 5017
Security Advisory on Input Validation Vulnerability on Multiple Omada Switches (CVE-2026-1668)
Une validation insuffisante des entrées dans l'interface web de plusieurs switchs Omada (dont SG2210P, SG2428P et SL2428P) peut provoquer une corruption de mémoire, voire une exécution de code ou un déni de service depuis le réseau local. Le fabricant publie des firmwares corrigés selon la branche matérielle.
- Concerné
- SG2210P (hardware branch 5.2x and 5.3x); TL-SG2428P (4.x); SG2428P (5.2x and 5.3x); SL2428P (6.2x); other Omada switches listed in the advisory
- Correction
- SG2210P: 5.20.18 Build 20260121 Rel.53429 (5.2x) / 5.30.1 Build 20260127 Rel.32017 (5.3x); TL-SG2428P: 4.0.26 Build 20260121 Rel.53429; SG2428P: 5.20.20 Build 20260121 Rel.53429 (5.2x) / 5.30.16 Build 20260121 Rel.53429 (5.3x); SL2428P: 6.20.18 Build 20260121 Rel.53429
- Gravité
- CVSS v4.0 score 7.7 (High)
- Chez nous
- TL-SG2210P · TL-SG2428P · TL-SL2428P
- À faire
- Mettre à jour le switch avec le firmware de sa branche matérielle (via l'interface locale, le contrôleur Omada ou le site de TP-Link).
CVE-2026-1668 Avis officiel du fabricant
26 janvier 2026 · TP-Link · TP-Link FAQ 4915
Security Advisory on Omada Controller Exposure to MongoBleed (CVE-2025-14847)
La faille MongoBleed (divulgation de mémoire de MongoDB) n'affecte les contrôleurs Omada que dans certaines configurations (mode cluster ou base de données exposée sur une interface externe) ; l'installation par défaut n'est pas exploitable. Pour l'OC300 (V1), le fabricant indique une correction avec le firmware 1.32.9.
- Concerné
- OC300 V1 earlier than OC300_V1_1.32.9 (Omada SDN 6.1.0), and other Omada controllers; exposure only under specific deployment conditions (cluster mode, or MongoDB binding changed to an external interface)
- Correction
- OC300(UN)_V1_1.32.9 (built-in Omada SDN Controller 6.1.0); temporary mitigation described in the advisory
- Gravité
- CVSS v4.0 score 8.7 (High)
- Chez nous
- OC300
- À faire
- Mettre à jour l'OC300 vers le firmware 1.32.9 ou plus récent, surtout en mode cluster ; ne pas exposer la base de données du contrôleur.
CVE-2025-14847 Avis officiel du fabricant
26 janvier 2026 · TP-Link · TP-Link FAQ 4917
Security Advisory: Multiple Vulnerabilities in Omada Controllers (CVE-2025-9520, CVE-2025-9521, CVE-2025-9522)
Trois failles (détournement possible du compte propriétaire par un administrateur, contournement de la confirmation de mot de passe, requêtes SSRF via webhook) touchent les contrôleurs Omada antérieurs à la version 6.0. Le fabricant indique qu'elles sont corrigées à partir de la version 6.0.
- Concerné
- Omada Controllers earlier than version 6.0
- Correction
- Omada Controller version 6.0 or later
- Gravité
- CVSS v4.0 scores: CVE-2025-9520 8.3 (High); CVE-2025-9521 2.1 (Low); CVE-2025-9522 5.1 (Medium)
- Chez nous
- OC300
- À faire
- Vérifier la version du contrôleur OC300 et la mettre à jour vers Omada 6.0 ou plus récent.
CVE-2025-9520 CVE-2025-9521 CVE-2025-9522 Avis officiel du fabricant
12 janvier 2026 · Hikvision · HSRC-202601-01
Buffer Overflow Vulnerabilities in Some Hikvision Products
Des dépassements de pile dans la fonction de recherche et de découverte de certains produits de contrôle d'accès (CVE-2025-66176) et de certains NVR, DVR, CVR et caméras IP (CVE-2025-66177) peuvent perturber l'appareil depuis le réseau local. Hikvision publie des mises à jour ; la liste des modèles et versions figure dans un document PDF lié à l'avis.
- Concerné
- CVE-2025-66176: partial Access Control series (e.g. DS-K1T342 / K1T343 / K1T344 and DS-K1T6QT-F72/F43: below V4.48.0; DS-K1T670 / K1T673: below V4.48.0; DS-K1T320 / K1T321: below V3.9.40; DS-K1T8005 / K1T808: below V3.25.40; DS-K1T8003: below V1.4.21). CVE-2025-66177: partial NVR, DVR, CVR, IPC series (e.g. DS-77xxNI-Mx, DS-76xxNXI-Kx(/xP), DS-77xxNXI-Kx(/xP), DS-76xxNI-Qx(/xP), iDS-72xxHQHI-M1/E, iDS-72xxHUHI-Mx/X: build date before 250807; DS-2CD1xxxG2: below V5.7.13_230822; DS-2CD1xxxG0(T): below V5.7.23_241015; DS-2CD29xxG0: below V5.7.21_240814). Full impact-scope table: PDF linked from the advisory.
- Correction
- Patches/updates on the Hikvision official firmware download page; no per-model fixed version is stated
- Gravité
- CVSS v3.1 base score 8.8 (both CVEs)
- Chez nous
- DS-K1T342MFWX · DS-K1T343MFX · DS-K1T321MFWX · DS-K1T670MFWX · DS-K1T8003M · DS-K1T808MFWX-B · et 28 autres de la même série
- À faire
- Vérifier le modèle et la version dans le document PDF de l'avis, puis mettre à jour le firmware depuis la page de téléchargement officielle de Hikvision.
CVE-2025-66176 CVE-2025-66177 Avis officiel du fabricant
19 décembre 2025 · Hikvision · HSRC-202512-01
Serial Port Privilege Escalation Vulnerabilities in Some Hikvision DVR Devices
Deux failles liées à l'authentification du port série de certains DVR (DS-7104HGHI-F1 et DS-7204HGHI-F1) permettent, avec un accès physique à l'appareil, d'obtenir un shell sans restriction. Le fabricant fournit un firmware corrigé via le lien de l'avis.
- Concerné
- DS-7104HGHI-F1 and DS-7204HGHI-F1: versions below V4.30.122_201107 (including V4.30.122_201107)
- Correction
- Firmware linked as "Click to download" in the advisory (file name DVR-K35_HGH-E_F_EUROPE-ML_STD_V4.30.123_251114)
- Gravité
- CVSS v3.1 base scores: CVE-2025-66173 6.2; CVE-2025-66174 6.5
- Chez nous
- DS-7204HGHI
- À faire
- Vérifier la référence exacte de l'enregistreur (DS-7204HGHI-F1 est cité dans l'avis), limiter l'accès physique, puis installer le firmware indiqué par le fabricant.
CVE-2025-66173 CVE-2025-66174 Avis officiel du fabricant
11 novembre 2025 · Ruijie · PSIRT-2025-10310
Security Vulnerabilities on RG-EW Series Devices
Une faille d'injection de commandes, exploitable après authentification sur l'interface eWeb, touche certains routeurs Ruijie de la série RG-EW. Le fabricant indique qu'elle est corrigée à partir de la version EW_3.0(1)B11P380.
- Concerné
- RG-EW series (RG-M18, RG-R4, RG-E6, RG-E5, RG-M32, RG-R6, RG-EW1800GX-PRO, RG-EW1200R, RG-REX12, RG-EW1200G PRO, RG-EW300 PRO, RG-EW300N, RG-EW1200, RG-EW3200GX PRO, RG-EW300R, RG-EW6000GX, RG-EW7200BE-PRO, RG-EW300T, RG-EW1300G, RG-EW3000GX, RG-EW3000GX-PRO, RG-E4): versions earlier than EW_3.0(1)B11P380
- Correction
- EW_3.0(1)B11P380 or later
- Gravité
- CVSS v3.1 base score 4.7
- Chez nous
- RG-M18 · RG-EW300PRO · RG-EW1300G · RG-EW3000GX PRO · RG-EW3200GX PRO
- À faire
- Mettre à jour vers EW_3.0(1)B11P380 ou plus récent ; en attendant, utiliser un mot de passe long (plus de 12 caractères) et ne pas exposer les ports eWeb sur Internet, comme le recommande le fabricant.
CVE-2025-11073 Avis officiel du fabricant
30 août 2025 · ZKTeco · Bulletin 22
Notice Regarding Security Vulnerability in ZKBio CVSecurity 6.5.0_R
Une faille d'injection de code peut permettre l'exécution de code arbitraire à distance dans ZKBio CVSecurity 6.5.1_R et les versions antérieures. Le fabricant indique qu'elle est corrigée dans la version 6.6.2_R et les suivantes.
- Concerné
- ZKBio CVSecurity 6.5.1_R and earlier versions
- Correction
- ZKBio CVSecurity 6.6.2_R and above
- Chez nous
- ZKBio CVSecurity
- À faire
- Utiliser ZKBio CVSecurity 6.8.2 (version présentée sur notre site) ou plus récente, après avoir archivé les données. Si la mise à jour n'est pas immédiate, restreindre les accès et fermer les ports exposés, comme le recommande le fabricant.
28 août 2025 · Hikvision · HSRC-202508-01
Security Vulnerabilities in some HikCentral Products
Une faille de contrôle d'accès dans HikCentral Professional (V2.3.1 à V2.6.2, et V3.0.0) pourrait permettre à un utilisateur non authentifié d'obtenir des droits d'administrateur. Le fabricant indique qu'elle est corrigée dans les versions V2.6.3 ou V3.0.1.
- Concerné
- HikCentral Professional (CVE-2025-39247): versions between V2.3.1 and V2.6.2, and V3.0.0. The advisory also covers HikCentral Master Lite and HikCentral FocSign (not sold by MASEC).
- Correction
- HikCentral Professional V2.6.3 or V3.0.1
- Gravité
- CVSS v3.1 base score 8.6 (CVE-2025-39247, HikCentral Professional)
- Chez nous
- HikCentral Professional
- À faire
- Passer à HikCentral Professional V2.6.3 ou V3.0.1 (ou plus récent), via le support technique ou les pages de téléchargement indiquées dans l'avis.
CVE-2025-39247 Avis officiel du fabricant
25 juillet 2025 · Ruijie · RJPSIRT-2025-07090
Vulnerability in Some Ruijie Reyee RG-ES Series Allows Unauthorized Password Modification
Une faille permet de modifier sans autorisation le mot de passe de connexion eWeb de certains switchs Ruijie Reyee de la série RG-ES. Le fabricant indique qu'elle est corrigée à partir de la version ESW_1.0(1)B1P48.
- Concerné
- RG-ES216GC-V2, RG-ES224GC-V2, RG-ES220GS-P, RG-ES228GS-P, RG-ES209GC-P, RG-ES205GC-P, RG-ES205GC, RG-ES208GC, RG-ES206GS-P, RG-ES210GS-P (ESW_1.0(1)B1P39 / B1P35 / B1P27); RG-ES216GC, RG-ES224GC, RG-ES210GC-LP (ESW_1.0(1)B1P27); other RG-ES and RG-NIS models listed in the advisory
- Correction
- ESW_1.0(1)B1P48 or later (RG-ES206MG-P / RG-ES209MG-P: ESW_1.0(1)B1P42 Release(12162701) or later)
- Gravité
- CVSS v3.1 base score 9.4
- Chez nous
- RG-ES205GC · RG-ES208GC · RG-ES205GC-P · RG-ES209GC-P · RG-ES206GS-P · RG-ES228GS-P · et 4 autres de la même série
- À faire
- Mettre à jour le switch vers ESW_1.0(1)B1P48 ou plus récent (mise à jour automatique si disponible, ou téléchargement sur le site de Ruijie).
11 juillet 2025 · ZKTeco · Bulletin 18
Notice Regarding Security Vulnerability in BioTime V.9.0.3
Une faille d'authentification peut entraîner une fuite de données dans BioTime 9.0.3 et les versions antérieures. Le fabricant indique qu'elle est corrigée dans BioTime 9.0.4 (build 20250623.20797).
- Concerné
- BioTime 9.0.3 and earlier versions
- Correction
- BioTime 9.0.4 (Build: 20250623.20797)
- Chez nous
- BioTime · ZKBio Time
- À faire
- Utiliser une version égale ou supérieure à 9.0.4 ; la version 9.0.6 proposée sur notre site est postérieure à ce correctif.
CVE-2024-13966 Avis officiel du fabricant
9 juillet 2025 · ZKTeco · Bulletin 17
Notice Regarding Security Vulnerability in ZKBio CVSecurity V5000 4.1.0_R
Une faille XSS exploitable à distance peut entraîner une fuite de données d'utilisateurs dans ZKBio CVSecurity V5000 4.1.0_R et les versions antérieures. Le fabricant indique qu'elle est corrigée dans ZKBio CVSecurity 6.1.3_R et les versions suivantes.
- Concerné
- ZKBio CVSecurity V5000 4.1.0_R or below
- Correction
- ZKBio CVSecurity 6.1.3_R and the later versions
- Chez nous
- ZKBio CVSecurity
- À faire
- Concerne l'ancienne gamme V5000 ; la version 6.8.2 présentée sur notre site est postérieure à la version corrigée 6.1.3_R. Archiver les données avant toute mise à jour.
CVE-2024-6344 Avis officiel du fabricant
9 juillet 2025 · ZKTeco · Bulletin 16
Notice Regarding Security Vulnerability in ZKBio CVSecurity 6.1.1_R
Une faille de type « override » peut entraîner une fuite de données dans ZKBio CVSecurity 6.1.1_R et les versions antérieures. Le fabricant indique qu'elle est corrigée dans la version 6.1.3_R et les suivantes.
- Concerné
- ZKBio CVSecurity 6.1.1_R or below
- Correction
- ZKBio CVSecurity 6.1.3_R and later versions
- Chez nous
- ZKBio CVSecurity
- À faire
- Utiliser ZKBio CVSecurity 6.8.2 (version présentée sur notre site) ou plus récente, après avoir archivé les données. Si la mise à jour n'est pas immédiate, restreindre les accès et fermer les ports exposés, comme le recommande le fabricant.
CVE-2024-35430 Avis officiel du fabricant
20 juin 2025 · ZKTeco · Bulletin 15
Notice Regarding Security Vulnerability in ZKBio CVSecurity 6.5.0_R
Une faille d'injection de commandes à distance peut permettre l'injection de scripts dans ZKBio CVSecurity 6.5.1_R et les versions antérieures. Le fabricant indique qu'elle est corrigée dans la version 6.5.2_R et les suivantes.
- Concerné
- ZKBio CVSecurity 6.5.1_R or below
- Correction
- ZKBio CVSecurity 6.5.2_R and above version
- Chez nous
- ZKBio CVSecurity
- À faire
- Utiliser ZKBio CVSecurity 6.8.2 (version présentée sur notre site) ou plus récente, après avoir archivé les données. Si la mise à jour n'est pas immédiate, restreindre les accès et fermer les ports exposés, comme le recommande le fabricant.
10 juin 2025 · ZKTeco · Bulletin 13
Notice Regarding Security Vulnerability in ZKBio CVSecurity 6.4.1
Une clé codée en dur dans le contrôleur de services web peut permettre des connexions sans authentification dans ZKBio CVSecurity 6.4.1_R et les versions antérieures. Le fabricant indique qu'elle est corrigée dans les versions 6.4.2_R, 6.5.1_R et supérieures.
- Concerné
- ZKBio CVSecurity 6.4.1_R or below
- Correction
- ZKBio CVSecurity versions 6.4.2_R, 6.5.1_R, and above
- Chez nous
- ZKBio CVSecurity
- À faire
- Utiliser ZKBio CVSecurity 6.8.2 (version présentée sur notre site) ou plus récente, après avoir archivé les données. Si la mise à jour n'est pas immédiate, restreindre les accès et fermer les ports exposés, comme le recommande le fabricant.
CVE-2025-45746 Avis officiel du fabricant
12 mai 2025 · ZKTeco · Bulletin 10
Notice Regarding Security Vulnerability in BioTime (Path Transversal Vulnerability)
Une faille de traversée de chemin peut donner accès à des fichiers système et provoquer une fuite de données dans BioTime 8.5.5 et les versions antérieures. Elle est corrigée dans ZKBioTime 9.0.1 (version courante) ou 8.5.5.2944 (version Moyen-Orient).
- Concerné
- BioTime V8.5.5 and earlier versions
- Correction
- Mainstream version: ZKBioTime version 9.0.1 (20240617.19506); Middle East version: ZKBioTime version 8.5.5.2944
- Chez nous
- BioTime · ZKBio Time
- À faire
- Les installations en 8.5.5 ou antérieures sont concernées ; la version 9.0.6 proposée sur notre site est postérieure à la version 9.0.1 qui contient la correction.
CVE-2023-38950 CVE-2023-38951 Avis officiel du fabricant
12 mai 2025 · ZKTeco · Bulletin 9
Notice Regarding Security Vulnerability in BioTime (Access Control Security Vulnerability)
Un contrôle d'accès insuffisant permet de lire, par requête HTTP, des fichiers de sauvegarde sensibles, dont des identifiants, dans BioTime 8.5.5 et les versions antérieures. Le fabricant indique qu'elle est corrigée dans ZKBioTime 9.0.1 (20240617.19506).
- Concerné
- BioTime v8.5.5 and earlier
- Correction
- ZKBioTime version 9.0.1 (20240617.19506)
- Chez nous
- BioTime · ZKBio Time
- À faire
- Les installations en 8.5.5 ou antérieures sont concernées ; la version 9.0.6 proposée sur notre site est postérieure à la version 9.0.1 qui contient la correction.
CVE-2023-38952 Avis officiel du fabricant
19 décembre 2024 · TP-Link · TP-Link FAQ 4061
Statement on Vulnerabilities Noted in Omada System Report
TP-Link indique avoir corrigé des vulnérabilités signalées dans un rapport sur Omada, dont celles de la borne EAP225 v3, avec le firmware EAP225V3_5.1.6 Build 20240313 publié avant la parution du rapport. L'avis ne détaille pas la nature des failles.
- Concerné
- EAP225 (US/EU) v3; EAP115 v4; ER7206 v1 / v2
- Correction
- EAP225 v3: EAP225V3_5.1.6 Build 20240313
- Chez nous
- EAP225
- À faire
- Vérifier la version matérielle de la borne (v3 concernée) et installer le firmware EAP225V3_5.1.6 Build 20240313 ou plus récent.
4 décembre 2024 · Ruijie · RJPSIRT-2024-12040
Clarification Regarding Security Vulnerabilities in Certain Reyee Products
Plusieurs failles (dont l'exécution de commandes à distance dite « Open Sesame », des identifiants MQTT faibles et une fuite de numéros de série) ont été signalées sur des équipements Ruijie Reyee. Ruijie indique que les correctifs ont été déployés et qu'aucune autre action n'est requise de l'utilisateur ; les versions corrigées sont listées dans l'avis.
- Concerné
- Reyee devices listed in the advisory, including: RG-EG105G-V2 / V3 (ReyeeOS 1.206.0.2219 up to, but not including, 2.324.0.2328); RG-NBS3100-48GT4SFP-P (1.206.2123 up to, but not including, 2.324.0.2328); RAP2200(E), RAP2200(F), RAP1201, RAP6202(G), RAP52-OD, RAP2260(G) (1.206.0.2219 up to, but not including, 2.300.0.2328); EW300-PRO, EW1300G, M18, EW3000GX-PRO, EW3200GX-PRO (earlier than ReyeeOS 1.313.2406); AIRMETRO460G, EST310-V2, EST350-V2 (earlier than AP_3.0(1)B11P300, Release(11240311))
- Correction
- ReyeeOS 2.324.0.2328 and later (EG105G, NBS3100); ReyeeOS 2.300.0.2328 and later (RAP series); ReyeeOS 1.313.2406 and later (EW series and M18); AP_3.0(1)B11P300, Release(11240311) and later (AIRMETRO / EST)
- Gravité
- CVSS v3.1 base scores from 3.1 to 9.8 (highest: CVE-2024-52324, 9.8)
- Chez nous
- RG-EG105G V2 · RG-EG105G V3 · RG-NBS3100-48GT4SFP-P · RG-RAP2200(E) · RG-RAP1201 · RG-RAP2200(F) · et 11 autres de la même série
- À faire
- Vérifier que l'équipement est à la version corrigée indiquée (mise à jour automatique si disponible, ou téléchargement sur le site de Ruijie).
CVE-2024-47547 CVE-2024-42494 CVE-2024-51727 CVE-2024-47043 CVE-2024-45722 CVE-2024-47791 Avis officiel du fabricant
18 octobre 2024 · Hikvision · HSRC-202410-01
Security Vulnerabilities in HikCentral Product Series
Une injection SQL dans HikCentral Professional (V2.0.0 à V2.6.0) pourrait permettre à un utilisateur authentifié d'exécuter des requêtes SQL arbitraires. Le fabricant indique qu'elle est corrigée dans la version V2.6.1.
- Concerné
- HikCentral Professional (CVE-2024-47487): versions between V2.0.0 and V2.6.0. The advisory also covers HikCentral Master Lite (not sold by MASEC).
- Correction
- HikCentral Professional V2.6.1
- Gravité
- CVSS v4.0 base score 7.2 (CVE-2024-47487, HikCentral Professional)
- Chez nous
- HikCentral Professional
- À faire
- Utiliser HikCentral Professional V2.6.1 ou plus récent ; contacter le support technique pour obtenir la version.
CVE-2024-47487 Avis officiel du fabricant
14 juin 2024 · Uniview · USRC-202406-01
Security Notice - Reflected Cross-Site Scripting (XSS) Vulnerability in Some Uniview NVR Products
Une faille XSS réfléchie touche certains NVR Uniview de la série NVR301, dont le NVR301-08S3-P8. Elle nécessite une authentification ; le fabricant indique qu'elle est corrigée à partir de la version NVR-B3610.33.27.240523.
- Concerné
- NVR301-04S3, NVR301-08S3, NVR301-16S3, NVR301-04LS2, NVR301-08LS2, NVR301-04LS3-P4, NVR301-04S3-P4, NVR301-08S3-P8, NVR301-08LS3-P8, NVR301-16LS3-P8: NVR-B3610.32.20.231219 and earlier; NVR301-04S2-P4: NVR-B3801.20.15.200829 and earlier
- Correction
- NVR-B3610.33.27.240523 and later; NVR-B3801.20.17.240507 and later
- Gravité
- CVSS v3 base score 5.4
- Chez nous
- NVR301-08S3-P8
- À faire
- Mettre à jour le firmware vers NVR-B3610.33.27.240523 ou plus récent ; éviter la redirection de ports et désactiver UPnP, comme le conseille le fabricant.
CVE-2024-3850 Avis officiel du fabricant
2 avril 2024 · Hikvision · HSRC-202404-01
Security Vulnerabilities in Hikvision NVR Devices
Trois failles (déréférencement de pointeur nul, lecture hors limites, injection de commandes) touchent certains NVR Hikvision, dont les modèles DS-7604NI-K1/4P(B) et DS-7604NXI-K1/4P et plusieurs séries (dont DS-77xxNI-Mx). Le fabricant publie des mises à jour et recommande des mots de passe complexes.
- Concerné
- DS-7604NI-K1/4P(B): V4.30.096 build221220 and the versions prior to it (CVE-2024-29947, CVE-2024-29949); DS-7604NXI-K1/4P: V4.76.005 build231012 and the versions prior to it (CVE-2024-29948); DS-76xxNI-Mx, DS-77xxNI-Mx, DS-96xxxNI-Mxx, DS-76xxNXI-Ix, DS-77xxNXI-Ix, DS-86xxNXI-Ix, DS-96xxNXI-Ix, iDS-76xxNXI-Mx, iDS-77xxNXI-Mx, iDS-96xxxMXI-Mxx: versions after V5.00.000 (including) and before V5.02.006 (not including) (CVE-2024-29949); DS-7604NI-M1/4P: versions after V5.00.000 (including) and before V5.01.070 (not including)
- Correction
- Patches/updates on the Hikvision official firmware download page; no fixed version is stated for DS-7604NI-K1/4P(B) and DS-7604NXI-K1/4P
- Gravité
- CVSS v3.1 base scores: CVE-2024-29947 2.7; CVE-2024-29948 3.8; CVE-2024-29949 7.2
- Chez nous
- DS-7604NI-K1/4P(B) · DS-7604NXI-K1/4P · DS-7764NI-M4
- À faire
- Mettre à jour le firmware depuis le site officiel de Hikvision et utiliser un mot de passe complexe pour l'appareil.
CVE-2024-29947 CVE-2024-29948 CVE-2024-29949 Avis officiel du fabricant
1 mars 2024 · Hikvision · HSRC-202403-01
Security Vulnerabilities in HikCentral Professional
Deux failles de validation côté serveur dans HikCentral Professional (versions jusqu'à V2.5.1 comprise) peuvent permettre l'accès à des URL ou à des ressources non autorisées. L'avis n'indique pas de version corrigée : voir l'avis du fabricant.
- Concerné
- HikCentral Professional: CVE-2024-25063 versions below V2.5.1 (including V2.5.1); CVE-2024-25064 versions after V2.0.0 and before V2.5.1
- Correction
- Not stated in the advisory (contact the local technical support team)
- Gravité
- CVSS v3.1 base scores: CVE-2024-25063 7.5; CVE-2024-25064 4.3
- Chez nous
- HikCentral Professional
- À faire
- Contacter le support technique local de Hikvision pour obtenir la version corrigée (voir l'avis du fabricant).
CVE-2024-25063 CVE-2024-25064 Avis officiel du fabricant
23 novembre 2023 · Hikvision · HSRC-202311-03
Security Vulnerability in Some Hikvision Products
Une faille de contournement d'authentification dans le module Hik-Connect de certains produits Hikvision (caméras IP, NVR et DVR, selon la date de fabrication) permet d'utiliser le service avec des messages forgés. Le correctif est à télécharger sur le site officiel ; les séries et dates de fabrication concernées sont listées dans l'avis.
- Concerné
- Authentication bypass in the Hik-Connect module. By build date: DS-2CD1xxx before 230614; DS-2CD2xx1 / xx3 / xx6 / xx7 before 230630; DS-2CD3xxx before 210429; DS-2DE4xxx before 230519; DS-76xxNI-Q1(/xP)(D), DS-76xxNI-Q2(/xP)(D), DS-77xxNI-Q4(/xP)(D), DS-76xxNXI-K1(/xP)(B) before 230620; DS-76xxNI-K2 and DS-77xxNI-K4 before 230712 (18 product groups in total, see the advisory)
- Correction
- Patch on the Hikvision official firmware download page; no version number is stated
- Gravité
- CVSS v3.1 base score 8.2
- Chez nous
- DS-2CD1043G2-LIU(F) · DS-2CD1123G2-LIU · DS-2CD1023G2-LIU · DS-2CD1363G2-LIU(F) · DS-2CD1163G2-LIU · DS-2CD1063G2-LIU · et 26 autres de la même série
- À faire
- Vérifier la série et la date de fabrication dans l'avis, puis installer le correctif disponible sur le site officiel de Hikvision.
CVE-2023-48121 Avis officiel du fabricant
17 novembre 2023 · Hikvision · HSRC-202311-01
Buffer Overflow Vulnerability in Hikvision NVR/DVR Devices
Un dépassement de tampon dans la fonction de récupération de mot de passe de certains NVR et DVR peut perturber l'appareil depuis le même réseau local, pour les appareils dont la date de fabrication est antérieure au 21 août 2023. Un correctif est disponible sur le site officiel.
- Concerné
- Password recovery feature of NVR/DVR models listed in the advisory (e.g. NVR: DS-76xxNI-Q1(C), DS-76xxNI-Q2(C), DS-76xxNI-K1(C)): build date before 230821 (versions before V4.1.60 are not affected)
- Correction
- Version with build date after 230821 (download on the Hikvision official website or contact support@hikvision.com)
- Gravité
- CVSS v3.1 base score 7.4
- Chez nous
- DS-7608NI-Q1/8P · DS-7608NI-Q2/8P
- À faire
- Vérifier le modèle et la date de fabrication dans l'avis, puis installer la version indiquée par le fabricant.
CVE-2023-28811 Avis officiel du fabricant
11 septembre 2023 · Uniview · USRC-202309-01
Security Advisory - Access Control Vulnerability Exist in Certain Uniview IPC Products
Une faille de contrôle d'accès dans certaines caméras IP Uniview permet de modifier les identifiants de l'appareil avec des paquets forgés ; elle n'est pas exploitable depuis Internet si le port HTTP n'est pas redirigé. L'avis liste des versions de firmware, pas des modèles.
- Concerné
- Some Uniview IPC products (models are not listed; firmware builds): CIPC-B2303.2.8.230105, DIPC-B1213.6.5.230215, DIPC-B1216.5.7.230109, DIPC-B1221.3.5.221202, DIPC-B1222.3.8.230223, DIPC-B1225.3.3.221123, DIPC-B1226.3.6.230105, DIPC-B1219.2.67.221019, DIPC-B1223.3.3.221123, DIPC-B1228.2.65.230207, DIPC-B1229.1.67.230104 and earlier
- Correction
- CIPC-B2303.3.3.230322; DIPC-B1213.7.2.230315; DIPC-B1216.6.2.230315; DIPC-B1221.5.2.230315; DIPC-B1222.5.2.230309; DIPC-B1225.5.2.230315; DIPC-B1226.5.2.230315; DIPC-B1219.2.71.230221; DIPC-B1223.5.3.230324; DIPC-B1228.5.3.230324; DIPC-B1229.1.69.230515 and later
- Gravité
- CVSS v3 base score 9.1 (temporal score 7.9)
- Chez nous
- IPC324LB-SF28-A · IPC2325LB-ADZK-G · IPC2122LB-SF28-A · IPC3535LB-ADZK-G · UV-IPC2B25SS-ADZK-I1 · UV-IPC3735SS-ADZK-I1 · et 7 autres de la même série
- À faire
- Comparer la version du firmware de la caméra avec la liste de l'avis et installer la version corrigée si nécessaire ; ne pas rediriger le port HTTP vers Internet.
CVE-2023-0773 Avis officiel du fabricant
14 juin 2023 · Hikvision · HSRC-202306-01
Security Vulnerability in Some Hikvision Access Control/Intercom Products
Deux failles (détournement de session ; modification de la configuration réseau depuis le réseau local) touchent certains terminaux de contrôle d'accès et interphones Hikvision, notamment la série DS-K1T343 et les moniteurs de la série DS-KH63. Les correctifs sont à télécharger sur le site officiel.
- Concerné
- DS-K1T343XXX: versions below V3.14.0_build230117 (including) (CVE-2023-28809 and CVE-2023-28810); DS-KH63 Series and DS-KH85 Series: versions below V2.2.8_build230219 (including) (CVE-2023-28810); other models listed in the advisory
- Correction
- Patches/updates on the Hikvision official website; no fixed version number is stated
- Gravité
- CVSS v3.1 base scores: CVE-2023-28809 7.5; CVE-2023-28810 4.3
- Chez nous
- DS-K1T343MFX · DS-KH6320-WTE1 · DS-KH6320Y-WTE2
- À faire
- Vérifier le modèle et la version du firmware dans l'avis, puis mettre à jour depuis le site officiel de Hikvision.
CVE-2023-28809 CVE-2023-28810 Avis officiel du fabricant
24 mai 2023 · Ruijie · Ruijie bulletin 10001
Security Advisory about the Command Injection Vulnerability Involving the Eweb Management System
Une faille d'injection de commandes dans le système de gestion eWeb de certains produits Ruijie Reyee (séries NBS, EG, EAP/RAP et EW) pourrait permettre de prendre le contrôle de l'équipement. Le fabricant indique qu'une version plus récente est disponible sur son site et sur Ruijie Cloud.
- Concerné
- Reyee NBS3/5/6/7 Series: SWITCH_3.0(1)B11P219 and earlier versions, excluding R219; Reyee EG Series: EG_3.0(1)B11P219 and earlier, excluding R219; Reyee EAP/RAP/NBC Series: AP_3.0(1)B11P219 and earlier, excluding R219; Reyee EW Series: EW_3.0(1)B11P219 and earlier, excluding R219
- Correction
- Latest version released on Ruijie Cloud and the official website (no version number stated)
- Gravité
- CVSS v3.1 base score 9.8
- Chez nous
- RG-RAP6202(G) · RG-RAP1201 · RG-RAP2260(G) · RG-RAP62 · RG-RAP2200(F) · RG-RAP2200(E) · et 10 autres de la même série
- À faire
- Mettre l'équipement à la dernière version publiée par Ruijie ; l'avis ne donne pas de numéro de version précis (voir l'avis du fabricant).
Résumé établi d'après les avis officiels des fabricants ; en cas de doute, l'avis du fabricant fait foi.