Ubiquiti patcht UniFi Network-kwetsbaarheid die accountovername mogelijk maakte

In dit artikel:

Ubiquiti heeft een kritieke kwetsbaarheid in de UniFi Network-app gepatcht die, mits een aanvaller al toegang heeft tot hetzelfde netwerk, tot overname van accounts kan leiden. Het beveiligingsadvies op de website meldt dat het lek (CVE-2026-22557) aanwezig was in UniFi Network-versies tot en met 10.1.85 en is opgelost in 10.1.89; voor UniFi Express geldt dezelfde oplossing vanaf versie 9.0.118. De bug heeft een ernstscore van 10 en maakt het mogelijk bestanden op het UniFi-systeem te benaderen en te manipuleren om zo inloggegevens of onderliggende accounts te verkrijgen.

Daarnaast is een minder ernstige NoSQL-injectie verholpen die lokale privilege-escalatie kan veroorzaken; ook daarvoor zijn dezelfde versies geüpdatet. UniFi Network (ook UniFi Controller) beheert Ubiquiti-apparatuur zoals routers, access points en switches — aanwezig op Cloud Gateways, Dream Machines, Dream Routers of bij zelfhosters. Gebruikers wordt dringend geadviseerd de genoemde updates direct te installeren en management-toegang te beperken of te segmenteren om misbruik te voorkomen.