🔴 《严重安全漏洞：CVE-2026-18191》

CVSS 评分: 严重（9.3）　　状态: Received　　发布时间: 2026-07-29

漏洞简介

CVE-2026-18191 涉及 Vacron 公司开发的 VIN-DS783E-E6 设备中存在一个隐藏功能（Hidden Functionality） 漏洞，对应 CWE-912 分类（隐藏功能）。该漏洞允许未经身份验证的远程攻击者利用设备中某个特定的隐藏功能，直接获取设备的管理员凭据（administrator credentials）。

影响范围

  • 受影响产品：Vacron VIN-DS783E-E6
  • 漏洞类型：隐藏功能（CWE-912）
  • 攻击条件：无需身份验证（unauthenticated），远程可访问（remote）
  • CVSS 向量：CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
    该向量表明攻击复杂度低（AC:L），无需攻击者具备任何权限（PR:N）或用户交互（UI:N），且对机密性（VC:H）、完整性（VI:H）和可用性（VA:H）均造成高影响。

风险分析

该漏洞的核心风险在于设备固件或服务中预留了未公开的隐藏功能，攻击者无需任何认证即可通过网络远程触发该功能，从而直接获取管理员级别的账户凭证。一旦攻击者获得管理员凭据，将能够完全控制受影响的 VIN-DS783E-E6 设备，包括但不限于：

  • 窃取敏感数据：访问设备存储的监控录像、配置信息等。
  • 篡改设备配置：修改网络设置、用户权限、固件升级策略等。
  • 中断服务：关闭设备或使其失效，导致监控功能瘫痪。
  • 横向渗透：利用被控设备作为跳板，攻击内网中其他系统。

由于该漏洞影响的是监控设备（通常部署在关键基础设施或企业网络中），其被利用可能导致严重的物理安全监控失效和内部网络入侵风险。建议用户立即联系厂商获取修复固件，并检查设备是否已被入侵。

🔍 技术细节

字段 值
CVE ID CVE-2026-18191
CVSS 评分 9.3 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-912
发布时间 2026-07-29
最后更新 2026-07-29
状态 Received
数据来源 twcert@cert.org.tw

🔗 参考链接