Vulnerabilidades en aplicación ZTE SmartLife
La aplicación ZTE SmartLife (com.zte.smarthome.abroad v2.8.1) contenía material de confianza recuperable, incluyendo claves AES-GCM estáticas: 096760a7a99d99d12de9fecbfca568c0 para descifrado bootstrap y djrom(&)(&)MORJD para cifrado de payloads. El backend en zxuacde.smart-zte.com aceptaba este contexto de aplicación para operaciones sensibles sin verificaciones de autorización a nivel de usuario. Se verificaron cuatro vulnerabilidades: enumeración de cuentas (CVE-2026-86554), reset de contraseña sin código de verificación (CVE-2026-86553, CVSS 8.8), registro previo de emails (CVE-2026-86552) y autenticación de aplicación forjada (CVE-2026-86555).