CVE-2025-6260
Vulnérabilité critique dans X-Series WiFi thermostats (Network Thermostat)
CVSS 9.8 · Critique
EPSS 0.5%
Network Thermostat•X-Series WiFi thermostats•Versions : <v11.5, v10.1, v9.6, v4.5, <v9.46, <v10.29, <4.6, v11.1
Description
The embedded web server on the thermostat listed version ranges contain a vulnerability that allows unauthenticated attackers, either on the local area network or from the Internet via a router with port forwarding set up, to gain direct access to the thermostat's embedded web server and reset user credentials by manipulating specific elements of the embedded web interface.
Gravité et risque d'exploitation
CVE-2025-6260 obtient un score CVSS de 9.8/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.52 %, ce qui la place devant 43.2 % des CVE référencées.
Que faire ?
- Vérifiez si X-Series WiFi thermostats (versions <v11.5, v10.1, v9.6, v4.5, <v9.46, <v10.29, <4.6, v11.1) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.