UniFi Access Application – Command Injection auf dem Host-Gerät

Beschreibung

In der UniFi Access Application besteht eine Schwachstelle durch unzureichende Eingabevalidierung (Improper Input Validation). Ein Angreifer mit Netzzugang und niedrigen Rechten kann sie ausnutzen, um Befehle auf dem Host-Gerät auszuführen (Command Injection). CVSS-Basiswert: 9.9 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H – geringe Rechte genügen, keine Nutzerinteraktion nötig, mit Scope-Wechsel. Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %. Da UniFi Access physische Zutrittskontrolle steuert, sollte das Update gemäss Hersteller-Sicherheitshinweis vorrangig eingespielt werden.

Changelog

1. 2026-07-15 · zuletzt

   • Zusätzlich betroffen: ubiquiti, unifi-protect.

2. 2026-07-14

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Ubiquiti

• Ubiquiti UniFi OS: unzureichende Zugriffskontrolle KEV CVE-2026-34908
• Ubiquiti UniFi OS: Path Traversal wird aktiv ausgenutzt KEV CVE-2026-34909
• Ubiquiti UniFi OS – Schwachstelle durch unzureichende Eingabevalidierung KEV CVE-2026-34910
• TanStack npm-Pakete – Supply-Chain-Kompromittierung KEV CVE-2026-45321
• Cisco IOS XE Web UI Command Injection Vulnerability KEV CVE-2023-20273
• Cisco IOS XE Web UI Privilege Escalation Vulnerability KEV CVE-2023-20198