کشف آسیب‌پذیری بحرانی Command Injection در کنترلرهای خانه هوشمند Ziroom ZHOME A0101

یک آسیب‌پذیری امنیتی بحرانی با شناسه CVE-2026-101261 در کنترلرهای خانه هوشمند مدل Ziroom ZHOME A0101 (نسخه فرم‌ور 1.0.1.0) شناسایی شده است. این نقص امنیتی از نوع تزریق دستور یا Command Injection (CWE-77) است و به مهاجمان اجازه می‌دهد تا دستورات دلخواه سیستم‌عامل را روی دستگاه اجرا کنند.

جزئیات فنی و بردار حمله

این آسیب‌پذیری در بخش /api/ZRnetwork/firstSetup_wifi از API مدیریت دستگاه رخ می‌دهد. مهاجم می‌تواند با دستکاری آرگومان login_pwd در این نقطه انتهایی (Endpoint) مربوط به پیکربندی WiFi، دستورات سیستمی را تزریق کرده و کنترل کامل دستگاه را در سه محور محرمانگی، یکپارچگی و در دسترس بودن (C/I/A) به دست آورد.

تحلیل ریسک و وضعیت اکسپلویت

• امتیاز CVSS 4.0: این آسیب‌پذیری با امتیاز بسیار بالای 9.4 رتبه‌بندی شده است.
• دسترسی: حمله به صورت از راه دور (Remote) و از طریق شبکه قابل اجرا است و نیازی به تعامل کاربر ندارد.
• وضعیت اکسپلویت: کد اکسپلویت (Exploit) این آسیب‌پذیری منتشر شده و در دسترس است، که ریسک بهره‌برداری فعال را به شدت افزایش می‌دهد.
• پاسخ سازنده: طبق گزارش‌ها، با سازنده دستگاه برای افشای این نقص تماس گرفته شده اما هیچ پاسخی دریافت نشده است.

توصیه‌های امنیتی و مقابله

با توجه به نبود وصله امنیتی (Patch) از سوی سازنده، مدیران شبکه و متخصصان امنیت باید اقدامات زیر را به سرعت اجرا کنند:

• شناسایی دارایی‌ها: تهیه لیست کامل از تمامی دستگاه‌های ZHOME A0101 با فرم‌ور 1.0.1.0 در شبکه.
• ایزولاسیون شبکه: جداسازی این دستگاه‌ها در یک VLAN مجزا یا استفاده از فایروال برای محدود کردن دسترسی به API مدیریت.
• محدودسازی دسترسی: اطمینان از اینکه نقطه انتهایی /api/ZRnetwork/firstSetup_wifi از شبکه‌های مهمان، شبکه‌های داخلی غیرمجاز یا اینترنت در دسترس نباشد.

به‌روزرسانی (سپتامبر 29, 2026 — Vuln Today)

به‌روزرسانی: جزئیات فنی تکمیلی برای آسیب‌پذیری تزریق دستور (Command Injection) در کنترلرهای Ziroom ZHOME A0101 منتشر شد. این نقص امنیتی با شناسه CVE-2026-101260 ثبت شده و نسخه 1.0.1.0 فریم‌ور (Firmware) را تحت تأثیر قرار می‌دهد.

تحلیل‌های جدید نشان می‌دهد که این آسیب‌پذیری از طریق دستکاری پارامتر firstLogin در اندپوینت /api/ZRnetwork/firstLogin قابل بهره‌برداری است. این نقص به مهاجم اجازه می‌دهد تا دستورات سیستم‌عامل را به‌صورت از راه دور (Remote) اجرا کرده و کنترل کامل دستگاه را در اختیار بگیرد.

در حال حاضر کد اکسپلویت (Exploit) و یک اثبات مفهوم (PoC) در GitHub منتشر شده است. با توجه به اینکه سازنده همچنان به گزارش‌ها پاسخ نداده و هیچ وصله‌ای (Patch) ارائه نشده است، توصیه می‌شود تمامی دستگاه‌های آسیب‌پذیر فوراً در یک VLAN مجزا ایزوله شده و دسترسی‌های HTTP API آن‌ها، به‌ویژه اندپوینت مذکور، مسدود گردد.

به‌روزرسانی (سپتامبر 29, 2026 — Vuln Today)

به‌روزرسانی: جزئیات فنی تکمیلی برای آسیب‌پذیری تزریق دستور (Command Injection) در گیت‌وی‌های خانه هوشمند Ziroom ZHOME A0101 منتشر شده است. این نقص امنیتی اکنون با شناسه CVE-2026-101262 ردیابی می‌شود و به‌طور مشخص نسخه 1.0.1.0 فریم‌ور (Firmware) را تحت تأثیر قرار می‌دهد.

تحلیل‌های جدید نشان می‌دهد که این آسیب‌پذیری در اندپوینت (Endpoint) مسیر /api/ZRQos/set_online_client رخ می‌دهد. مهاجم می‌تواند با دستکاری آرگومان ip، دستورات سیستم‌عامل را به‌صورت از راه دور اجرا کند. لازم به ذکر است که برای بهره‌برداری از این نقص، مهاجم باید دارای یک نشست مدیریتی (Administrative Session) فعال باشد (PR:H).

• برداشت فنی: با وجود نیاز به احراز هویت، انتشار کد اکسپلویت (Exploit) در فضای عمومی ریسک سرایت را افزایش داده است.
• توصیه‌های امنیتی: مدیران شبکه باید دسترسی به رابط مدیریتی دستگاه را تنها به IPهای مورد اعتماد محدود کرده و تمامی رمزهای عبور پیش‌فرض را تغییر دهند.