Vulnerabilità · 1 giorno fa
CISA ha divulgato nove vulnerabilità nel firmware di Kiloview E3 NDI Encoder precedente alla 1.30: alcune consentono modifiche di configurazione senza autenticazione, altre l’esecuzione persistente di comandi come root da parte di un utente autenticato.
Il servizio ONVIF accetta alcune richieste remote per cambiare nome host, DNS e server orario senza verificare chi le invia: tratta così una richiesta remota come una modifica autorizzata. Separatamente, un utente autenticato abilitato a configurare rotte statiche può eseguire comandi di sistema come root; la configurazione malevola sopravvive ai riavvii. La compromissione può esporre credenziali e materiale crittografico salvati sul dispositivo.
Kiloview indica la versione 1.30 come correzione. Per chi gestisce questi encoder, il solo controllo degli accessi alla console web non delimita l’esposizione: il percorso ONVIF senza autenticazione resta distinto e una compromissione può lasciare un accesso persistente.
CVE in questo aggiornamento
9 CVE
Distribuite tra E3 Firmware.
3 critiche · 3 alte · 3 medie · 0 basse
0 in CISA KEV · 0 con EPSS sopra 1%
Severità più alta: CVE-2026-107861 · 9.9 CRITICAL
1 fonte che coprono questa storia
Kiloview E3 NDI Encoder | CISA
View CSAF Summary Successful exploitation of this these vulnerabilities could allow an attacker to fully compromise the device.
Part of the PlainSec briefing for 2026-10-23