漏洞概述 Vestel 发现了一个在 SmartCenter 功能中的漏洞，该功能存在于 Telefunken TE2553B45V20Z Smart TV 中，基于 Vestel MIB11 / Voltos3.1 / TiVo OS 平台。漏洞原因是 URL 方案在 SmartCenter 浏览器导航命令中的验证不足。未经身份验证的攻击者可以在同一本地网络上向电视提交一个恶意的 SmartCenter 请求，导致嵌入式浏览器导航到未授权的目的地。受影响的接口未暴露给互联网。 影响范围 产品/型号: Telefunken TE2553B45V20Z Smart TV 平台: Vestel MIB11 / Voltos3.1 / TiVo OS 受影响固件: V2.78.010 CVE: CVE-2026-15270 严重程度: HIGH (CVSS v4.0: 7.1) CWE: CWE-918 - Server-Side Request Forgery (SSRF) 修复方案 Vestel 已实施对 SmartCenter 初始浏览器导航中使用的 URL 方案和目的地的更严格验证。修复固件已通过标准 OTA 更新机制于 06.08.2026 发布。Vestel 强烈建议客户使用以下产品软件进行更新： V2.85.2.0 一般安全建议 保持电视固件与最新可用固件同步。 仅允许受信任设备连接到同一本地网络。 使用 WPA2 或 WPA3 并设置强且唯一的 Wi-Fi 密码。 将电视放置在隔离的访客网络中。 不要暴露需要端口转发或类似配置的本地控制服务。 致谢 Vestel 感谢独立安全研究员 Charles-François Caligari 发现并负责任地报告此漏洞，并在协调漏洞披露过程中合作。