Heatmiser Wifi Thermostat 1.7 跨站请求伪造 (Cross-Site Request Forgery)

该 XSRF 漏洞允许攻击者完全控制受影响的 Heatmiser Wifi Thermostat。攻击者可以利用该漏洞修改管理员凭据，从而获得对设备的完全访问权限。这可能导致未经授权的设备配置更改、数据泄露，甚至可能被用于发起进一步的网络攻击。由于 Heatmiser Wifi Thermostat 通常用于控制家庭供暖系统，因此该漏洞可能对用户隐私和安全构成严重威胁。攻击者可能利用该漏洞远程控制供暖系统，造成不便或潜在的财产损失。

Users of Heatmiser Wifi Thermostat versions 1.7–1.7, particularly those who access the device's web interface directly and are not behind a robust WAF, are at risk. Shared hosting environments where multiple users might access the thermostat's interface are also potentially vulnerable.

1. 已保留2026-04-12
2. 发布日期2026-04-12
3. 修改日期2026-04-13
4. EPSS 更新日期2026-04-20

由于没有提供固定的版本，缓解措施应侧重于限制攻击面。建议实施以下缓解措施：首先，限制对 networkSetup.htm 接口的访问，仅允许来自受信任来源的请求。其次，实施严格的输入验证，以防止恶意参数的注入。第三，考虑使用更高级的安全措施，例如双因素身份验证 (2FA)，以增加攻击难度。最后，定期审查和更新设备配置，以确保其安全性。