Ubiquiti UniFi Protect: Privilegienerweiterung durch View-only-Benutzer

Beschreibung

Ubiquiti hat neue UniFi-Protect-Firmware v1.13.3 und v1.14.10 für Cloud Key Gen2 Plus bzw. UniFi Dream Machine Pro/UNVR veröffentlicht, die eine Schwachstelle in v1.13.2, v1.14.9 und älter behebt. Benutzer mit reiner Leseberechtigung können bestimmte benutzerdefinierte Befehle ausführen und sich dadurch unberechtigt Rollen zuweisen und ihre Privilegien erweitern. CVSS-Basiswert: 8.8 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Empfohlene Massnahme: laut Quellbeschreibung auf UniFi Protect v1.13.3 bzw. v1.14.10 oder neuer aktualisieren.

Changelog

1. 2026-07-14 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Ubiquiti

• Ubiquiti UniFi OS: unzureichende Zugriffskontrolle KEV CVE-2026-34908
• Ubiquiti UniFi OS: Path Traversal wird aktiv ausgenutzt KEV CVE-2026-34909
• Ubiquiti UniFi OS – Schwachstelle durch unzureichende Eingabevalidierung KEV CVE-2026-34910
• Cisco IOS XE Web UI Command Injection Vulnerability KEV CVE-2023-20273
• Cisco IOS XE Web UI Privilege Escalation Vulnerability KEV CVE-2023-20198
• Jenkins UI – Informationsoffenlegung KEV CVE-2015-5317