CVE-2026-120223
Oray Pugongying X5 Pro Session ID session.lua session_get random values
CVSS 3.1Medium
2.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Исправленная версия не указана. Проверьте бюллетень производителя.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В Oray Pugongying X5 Pro выявлена недостаточная случайность значений в обработчике идентификаторов сессий.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Дефект возникает в функции session_get файла session.lua при манипуляции аргументом _user. Эксплуатация возможна удаленно, однако имеет высокую сложность.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Генерация недостаточно случайных значений идентификаторов сессий.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- vuldb.comhttps://vuldb.com/vuln/429582
- vuldb.comhttps://vuldb.com/vuln/429582/cti
- vuldb.comhttps://vuldb.com/cve/CVE-2026-120223
- vuldb.comhttps://vuldb.com/submit/1007539
- app.notion.comhttps://app.notion.com/p/Oray-Pgyer-X5-Pro-Router-7-6-1-Predictable-Session-ID-Exposes-an-Ordinary-User-s-Password-3eb797159f158043b197d098224fc12f
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-120223: Oray Pugongying X5 Pro Session ID session.lua session_get random values. URL: https://cve.futuretools.ru/cve/CVE-2026-120223
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_120223,
title = {{CVE-2026-120223: Oray Pugongying X5 Pro Session ID session.lua session_get random values}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-120223}},
note = {Оперативный инженерный анализ киберугроз}
}