Descripción
El manejador de websocket del firmware de Fanvil x7a, versión 2.6.0.1182, no aplica restricciones de autenticación adecuadas frente a usuarios sin sesión. La falta de restricciones otorga a cualquier persona la capacidad de ver cualquier recurso del dispositivo, como registros operativos, o de realizar solicitudes de diagnóstico.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Referencias
- Referencia en fanvil.comfanvil.com/products/p5/wulianwangwangguan_1/20210921/5035.html
- Referencia en download.fanvil.comdownload.fanvil.com/Firmware/Release/PA2S/
- Referencia en darkpoint.cadarkpoint.ca/blog/2026/02/27/Fanvil-x7a-PA2S-Vulnerability-Disclosure
Ver el texto original en inglés (CVE.org)
The websocket handler of Fanvil x7a firmware version 2.6.0.1182 does not enforce proper authentication restrictions against sessionless users. The lack of restrictions grants anyone the ability to view any device resources such as operational logs or perform diagnostic requests.