CVE-2026-10557

Kritik

Açıklama

Yarbo Android ve iOS uygulamaları, tüm kullanıcılar ve tüm cihazlar için aynı olan sabit kodlanmış (hard-coded) MQTT broker kimlik bilgileri içermektedir. Bu kimlik bilgileri uygulama ikili dosyasına gömülüdür ve APK dekompilasyonu yoluyla kolayca çıkarılabilir. Kimlik bilgileri, dünya genelindeki tüm Yarbo robot filosuna ait gerçek zamanlı telemetri verilerini taşıyan bulut MQTT brokerlarına erişim sağlamaktadır. Bunlar, hem tüm robot telemetri konularına joker karakterle (wildcard) abone olunmasına hem de yalnızca robotun seri numarası kullanılarak herhangi bir robotun komut konusuna yayın yapılmasına izin vermektedir.

ÖnemKritik

CVSS9.8

İstismar olasılığı—

ÜrünYarbo Android/IOS mobile application

Yayın12 Haz 2026

İlk görülme12 Haz 2026

Zayıflık türüCWE-798Koda gömülü kimlik bilgisi

Nasıl düzeltilir

Güncelleyin

Yarbo Yarbo Android/IOS mobile application3.17.4 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
Yarbo Yarbo Android/IOS mobile application	v < 3.17.4	3.17.4
Yarbo Yarbo Cloud MQTT infrastructure	Aralık belirtilmemiş	—

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.