ZTE отстрани четири уязвимости в мобилното си приложение SmartLife след разкриването на критични слабости, които позволяваха на атакуващи да изброяват акаунти, да извличат идентификатори на профили, да нулират пароли и да превземат потребителски акаунти.
Най-сериозната уязвимост, обозначена като CVE-2026-86553, получи CVSS оценка 8.8 и засягаше ZTE SmartLife версии 2.8.2 и по-ранни.
Тази уязвимост даваше възможност заявка за нулиране на парола да бъде изпълнена успешно с помощта на целевия ID на акаунта и нова парола, без да се изисква каквото и да е потвърждение, че заявителят притежава акаунта или е преминал през процес на проверка с код за нулиране.
Уязвимият процес за нулиране на парола не прилагаше стандартна процедура за проверка от страна на сървъра. Обикновено нулирането на парола изисква код, изпратен до собственика на акаунта за валидация, или друга форма на автентификация на потребителя, преди да се позволи задаването на нова парола.
Бекендът на SmartLife обаче приемаше нулиране на паролата единствено въз основа на идентификатор на акаунта и нова парола. Тази липса на адекватна проверка създаде възможност за превземане на акаунти, особено когато бе комбинирана с проблем с изброяването на имейли.
Според описанието на CVE, атакуващи с достъп до параметрите за автентификация на приложението SmartLife са могли да отправят заявки към бекенд интерфейса /account/verify.serv, за да проверят дали даден имейл адрес е регистриран.
При въвеждане на валиден акаунт, API интерфейсът връщаше и бекенд ID на акаунта, който атакуващият след това можеше да използва, заедно с фалшифицирани данни за автентификация, за да нулира успешно паролата на жертвата.
Изследователят е потвърдил този проблем само с контролирани от него акаунти, но след като промяната на паролата е била изпълнена, новите идентификационни данни са успели да се автентифицират пред услугата SmartLife, потвърждавайки, че промяната на паролата пряко засяга акаунта.
ZTE SmartLife Vulnerabilities
Слабостите бяха разкрити от изследователя по сигурността Мина Наге Салама (Mina Nageh Salama), докато анализира екосистемата SmartLife във връзка с проучване на софтуера на рутери ZTE (H188A и H288A). Това разследване доведе до фокус върху облачните услуги за акаунти, използвани от официалното Android приложение ZTE SmartLife.
Общо координираното оповестяване доведе до четири CVE, като ZTE потвърди, че всички установени проблеми са отстранени.
| CVE | Issue | CVSS | Impact |
|---|---|---|---|
| CVE-2026-86552 | Email verification bypass | 5.4 | Fake account registration |
| CVE-2026-86553 | Password reset flaw | 8.8 | Account takeover |
| CVE-2026-86554 | Email/account ID disclosure | 4.3 | Account enumeration |
| CVE-2026-86555 | Hardcoded mobile app key | 6.2 | Server information exposure |
Уязвимостта за изброяване на имейли, CVE-2026-86554, позволяваше на киберпрестъпници да разграничават регистрирани от нерегистрирани имейл адреси в SmartLife.
Ако атакуващ предостави регистриран имейл, бекендът разкриваше реалния бекенд идентификатор на акаунта, което правеше проблема с нулирането на паролата по-лесно експлоатируем.
Уязвимостта CVE-2026-86555 включваше твърдо кодиран ключ (hardcoded key) в приложението SmartLife, който можеше да бъде извлечен за декриптиране на чувствителна информация за сървъра на акаунтите.
Тези слабости имат значителни последици. По-широкият проблем беше, че бекенд системата разчиташе твърде много на автентификацията на ниво приложение за критични действия с профила.
Въпреки че подобна автентификация може да показва, че заявката идва от оторизиран контекст на приложението, тя не трябва да замества необходимостта от надеждно доказателство, че заявителят контролира конкретния акаунт, който се променя.
Компрометиран SmartLife акаунт може да изложи на риск различни свързани домашни среди, тъй като приложението SmartLife управлява редица конфигурации за дома и устройствата. Ето защо компрометирането на акаунта може да доведе до по-сериозни последици, надхвърлящи обикновения достъп до потребителски профили.
За да отстрани тези уязвимости, ZTE обяви, че е коригирала напълно всички съобщени проблеми, като бюлетините за сигурност бяха публикувани на 20 септември 2026 г.
Потребителите на SmartLife трябва да обновят приложението до най-новата версия в официалните магазини за приложения и да обмислят смяна на паролите, особено ако са ги използвали повторно в други услуги.
Освен това прегледът на свързаните устройства и споделените членове на домакинството е от решаващо значение за поддържане на сигурността. За производителите този случай подчертава основния принцип, че нулирането на пароли задължително трябва да включва проверка от страна на сървъра за защита на акаунтите.