Données publiées par NVD. La traduction française est automatique : le texte anglais fait foi.
Le cadre d'authentification utilisé par le firmware encodeur encodeur Kiloview E3 affecté signe la session JSON Web Tokens en utilisant un code dur secret HMAC-SHA256 codé comme une chaîne statique dans l'image du firmware, identique sur tous les périphériques déployés. Un attaquant ayant accès au firmware distribué publiquement peut récupérer ce secret et forger des jetons de session arbitraires, y compris des jetons administratifs, sans identifiants valides, permettant un accès non authentifié aux fonctions de périphérique privilégiés.
The authentication framework used by affected Kiloview E3 NDI encoder firmware signs session JSON Web Tokens using an HMAC-SHA256 secret hardcoded as a static string within the firmware image, identical across all deployed devices. An attacker with access to the publicly distributed firmware can recover this secret and forge arbitrary session tokens, including administrative tokens, without valid credentials, enabling unauthenticated access to privileged device functions.
Pas encore publiées par NVD. Consultez l’avis de l’éditeur.
Explication générée à partir des données officielles, sans test de notre part. Elle peut simplifier ou se tromper.
Un identifiant secret est écrit directement dans le logiciel.
Un attaquant peut l’exploiter à distance, par le réseau, sans aucun compte, sans action de la victime. L’attaque est simple à réaliser.
Voir le résumé CSAF Une exploitation réussie de ces vulnérabilités pourrait permettre à un attaquant de compromettre complètement l'appareil. Les versions suivantes de Kiloview E3 NDI Encoder sont affectées: E3 Firmware <1,30 (CVE-2026-109122, CVE-2026-111100, CVE-2026-96616, CVE-2026-105265, CVE-2026-110491, CVE-2026-107861, CVE-2026-110243, CVE-2026-92450, CVE-2026-110825) Équipement pour vendeurs CVSS v3 9,9 KilVI
CISA Advisories
This product uses data from the NVD API but is not endorsed or certified by the NVD.