关键信息 漏洞概述 CVE编号: CVE-2025-57438 漏洞类型: Broken Access Control 影响: 管理员级别的用户可以在没有适当授权的情况下访问仅限管理员的端点，导致潜在的配置更改、敏感数据泄露或服务中断。 影响产品 厂商: 2wcom 设备: 2wcom IP-4c 固件/软件版本: 2.15.5 漏洞端点 以下端点对经理级别的用户开放，但没有适当的检查： 利用步骤 1. 以经理级别用户身份登录Web界面。 2. 使用Burp Suite等工具拦截任何请求。 3. 修改拦截请求中的端点为上述易受攻击的端点之一。 4. 发送修改后的请求，绕过预期的访问控制检查。 影响 权限提升：经理获得管理员级别的功能。 访问敏感系统配置（网络设置、用户管理等）。 如果被滥用，可能导致错误配置或拒绝服务。 建议修复措施 在所有敏感端点上实施严格的访问控制检查，确保只有授权角色（如管理员）可以访问。 审计Web界面中的所有访问控制逻辑。 更新到最新版本的固件（如果已发布修复程序）。 将管理界面的访问限制在可信IP范围内。