Hisense VIDAA : service WebDriver exposé sans authentification

Veille sécuritéFrontend

P3Élevée

Une version QA du moteur Cobalt dans le firmware VIDAA concerné expose sans authentification un service WebDriver accessible sur le réseau local, permettant notamment d’exécuter du JavaScript et d’accéder à des données ou fonctions du téléviseur. La fiche NVD indique la version V0000.01.00a.P0220 comme affectée; aucun correctif ni contournement n’est précisé dans les données fournies.

IdentifiantCVE-2026-123993

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-123993

Analyse technique

Le service WebDriver est exposé sur TCP/4444 sur toutes les interfaces et ne requiert ni authentification ni jumelage; un attaquant adjacent au réseau peut exécuter du JavaScript et accéder à la passerelle native Hisense.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-06T19:17:44.550Z, comprise dans la période demandée; l’item est retenu comme vulnérabilité publiée durant cette période.

ImpactExécution de JavaScript par un attaquant adjacent au réseau, avec possibilité d’accéder à des données locales et à des opérations du système.

Versions affectéesHisense VIDAA Smart TV firmware V0000.01.00a.P0220

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.7

Publication2026-11-06T19:17:44.550Z

Mise à jour2026-11-06T19:17:44.550Z

Action recommandée

Mettre à jour le firmware vers une version corrigée dès qu’elle est disponible et limiter l’accès réseau au téléviseur; la source fournie ne précise pas de version corrigée.

Sources

NVD — CVE-2026-123993

Priorisation DFS : P3 · 1 source(s).