CVE-2026-28766是Gardyn Cloud API中存在的一个信息泄露漏洞。未经身份验证的攻击者可以通过特定端点访问所有注册Gardyn用户的帐户信息，造成严重的用户隐私泄露风险。受影响的版本包括低于或等于2.12.2026的版本。此漏洞已在2.12.2026版本中得到修复。
Gardyn Cloud API中的CVE-2026-28766漏洞，无需身份验证即可暴露所有注册用户帐户信息。攻击者只需访问特定端点，即可访问姓名、电子邮件地址、联系方式以及可能的订阅详细信息等敏感个人数据。CVSS评分9.3表明存在严重风险，因为缺乏身份验证使得漏洞易于利用，潜在影响也很大。此安全漏洞可能导致身份盗窃、定向垃圾邮件，并可能导致用户帐户被滥用于恶意活动。此信息的暴露损害了用户隐私和对Gardyn平台的信任。为了减轻此风险，必须更新到版本2.12.2026。
此漏洞出现在Cloud API的特定端点中，该端点按设计不需要身份验证即可访问用户帐户信息。这意味着任何拥有端点URL访问权限的人都可以请求并接收所有注册用户的的数据。由于缺少请求者的身份验证，因此可以未经授权地读取信息。攻击者不需要有效凭据或进行社会工程，只需要知道易受攻击端点的URL即可。利用的简单性使其成为一个重大风险，尤其对于那些技术专长有限的人。
All Gardyn users are at risk, particularly those who rely on the Gardyn Cloud API for managing their smart gardens. This includes both individual users and potentially larger organizations utilizing Gardyn's services.
disclosure
漏洞利用状态
EPSS
0.08% (24% 百分位)
CISA SSVC
立即采取的措施是更新Gardyn Cloud API到版本2.12.2026。此更新通过为受影响的端点实施适当的身份验证控制来修复漏洞。此外，建议审查和加强API安全策略，包括定期审计和渗透测试。用户应监控其帐户是否存在可疑活动，并在怀疑发生漏洞时更改密码。Gardyn应积极向其用户沟通此漏洞和更新的重要性。实施入侵检测系统可以帮助识别和响应利用尝试。
Actualice la API de Gardyn Cloud a la versión 2.12.2026 o posterior para implementar la autenticación necesaria en el endpoint vulnerable. Esto evitará la exposición no autorizada de la información de las cuentas de usuario.
漏洞分析和关键警报直接发送到您的邮箱。
虽然更新修复了漏洞，但仍然建议监控您的帐户是否存在异常活动，并作为预防措施更改您的密码。
注意可疑的电子邮件或消息，帐户中的未经授权的费用或帐户设置的任何意外更改。
CVSS是一个评估漏洞严重程度的评分系统。9.3的评分表明存在严重风险，这意味着漏洞易于利用，并且影响重大。
预计Gardyn将积极向其用户沟通此漏洞和更新的重要性。请查看其官方沟通渠道。
建议随时了解有关Gardyn及其产品的新闻。请查看其网站和其他安全资源。
CVSS 向量