CVE-2026-38057

L’iDirect iQ200 ne valide pas les jetons CSRF sur les points de terminaison d’API modifiant l’état après l’authentification. Le point de terminaison /api/reboot accepte les requêtes POST authentifiées uniquement par un cookie de session dépourvu de l’attribut SameSite. Un attaquant distant peut héberger une page web malveillante qui, lorsqu’elle est visitée par un administrateur authentifié, soumet automatiquement une requête POST intersites provoquant le redémarrage immédiat de l’appareil et la perte de la liaison satellite. Des attaques répétées peuvent maintenir une condition de déni de service.