CVE-2026-38057
El iDirect iQ200 no valida tokens CSRF en los endpoints de API que modifican el estado después de la autenticación. El endpoint /api/reboot acepta solicitudes POST autenticadas únicamente mediante una cookie de sesión que carece del atributo SameSite. Un atacante remoto puede alojar una página web maliciosa que, al ser visitada por un administrador autenticado, envía automáticamente una solicitud POST cross-site, provocando el reinicio inmediato del dispositivo y la pérdida del enlace satelital. Los ataques repetidos pueden mantener una condición de denegación de servicio.
Puntuación CVSS8.1 / 10
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:HTipo de debilidad (CWE)CWE-352
Artículos relacionados
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.