Vulnerabilidades en aplicación ZTE SmartLife
La aplicación ZTE SmartLife (com.zte.smarthome.abroad v2.8.1) contenía material de confianza recuperable, incluyendo claves AES-GCM estáticas: 096760a7a99d99d12de9fecbfca568c0 para descifrado bootstrap y djrom(&)(&)MORJD para cifrado de payloads.
El backend en zxuacde.smart-zte.com aceptaba este contexto de aplicación para operaciones sensibles sin verificaciones de autorización a nivel de usuario. Se verificaron cuatro vulnerabilidades: enumeración de cuentas (CVE-2026-86554), reset de contraseña sin código de verificación (CVE-2026-86553, CVSS 8.8), registro previo de emails (CVE-2026-86552) y autenticación de aplicación forjada (CVE-2026-86555).
ZTE PSIRT confirmó y parcheó las vulnerabilidades, asignando cuatro CVEs. La aplicación tenía más de 100.000 descargas en Google Play, más distribución en App Store. El comportamiento de eliminación de cuentas fue excluido de los CVEs al ser considerado por ZTE solo de entorno de pruebas.
vulnerabilidades · zte smartlife · seguridad aplicaciones · cve · reset contraseña