ZTE ha solucionado cuatro vulnerabilidades en su aplicación móvil SmartLife. Estas fallas críticas permitían a los atacantes enumerar cuentas, recuperar identificadores, restablecer contraseñas y tomar el control total de las cuentas de usuario. La vulnerabilidad más grave, identificada como CVE-2026-86553, alcanzó una puntuación CVSS de 8.8 y afectaba a las versiones 2.8.2 y anteriores de la aplicación.

ZTE ha solucionado cuatro vulnerabilidades en su aplicación móvil SmartLife tras el descubrimiento de debilidades críticas que permitían a los atacantes enumerar cuentas, recuperar identificadores de cuenta, restablecer contraseñas y tomar el control de las cuentas de usuario.

La vulnerabilidad más grave, etiquetada como CVE-2026-86553, recibió una puntuación CVSS de 8.8 y afectaba a las versiones 2.8.2 y anteriores de ZTE SmartLife.

Esta vulnerabilidad permitía que una solicitud de restablecimiento de contraseña se ejecutara con éxito utilizando un ID de cuenta objetivo y una nueva contraseña, sin requerir ninguna confirmación de que el solicitante fuera el propietario de la cuenta o hubiera completado un proceso de verificación mediante código.

El proceso vulnerable de restablecimiento de contraseña no implementaba un procedimiento de verificación estándar en el servidor. Normalmente, un restablecimiento de contraseña requiere un código enviado al propietario de la cuenta para su validación u otra forma de autenticación del usuario antes de permitir establecer una nueva contraseña.

Sin embargo, el backend de SmartLife aceptaba un restablecimiento de contraseña basándose únicamente en un identificador de cuenta y una nueva contraseña. Esta falta de verificación adecuada creó una vía para el robo de cuentas, especialmente cuando se combinaba con un problema de enumeración de correos electrónicos.

Según la descripción del CVE, los atacantes con acceso a los parámetros de autenticación de la aplicación SmartLife podían consultar la interfaz del backend /account/verify.serv para comprobar si una dirección de correo electrónico estaba registrada.

Cuando se introducía una cuenta válida, la API también devolvía el ID de la cuenta en el backend, que un atacante podía utilizar después, junto con datos de autenticación falsificados, para restablecer con éxito la contraseña de la víctima.

El investigador solo validó este problema con cuentas que él mismo controlaba, pero una vez ejecutado el cambio de contraseña, las nuevas credenciales podían autenticarse en el servicio de SmartLife, confirmando que el cambio de contraseña afectaba directamente a la cuenta.

Vulnerabilidades de ZTE SmartLife

Los fallos fueron descubiertos por el investigador de seguridad Mina Nageh Salama mientras examinaba el ecosistema de SmartLife en conjunto con una investigación sobre el firmware de los routers de ZTE (H188A y H288A). Esta investigación llevó a centrarse en los servicios de cuentas en la nube utilizados por la aplicación oficial de ZTE SmartLife para Android.

En total, la divulgación coordinada resultó en cuatro CVE, y ZTE confirmó que todos los problemas identificados habían sido remediados.

La vulnerabilidad de enumeración de correos electrónicos, CVE-2026-86554, permitía a los atacantes diferenciar entre direcciones de correo electrónico de SmartLife registradas y no registradas.

Si un atacante proporcionaba un correo registrado, el backend revelaba el identificador real de la cuenta en el servidor, haciendo que el problema del restablecimiento de contraseña fuera más explotable.

La vulnerabilidad CVE-2026-86555 implicaba una clave hardcodeada dentro de la aplicación SmartLife, que podía ser extraída para descifrar información sensible entre la cuenta y el servidor.

Estos fallos tienen implicaciones significativas. La preocupación general era que el sistema backend dependía demasiado de la autenticación a nivel de aplicación para acciones críticas de la cuenta.

Si bien dicha autenticación puede indicar que una solicitud provenga de un contexto de aplicación autorizado, no debe sustituir la necesidad de una prueba robusta de que el solicitante controla la cuenta específica que se está modificando.

Una cuenta de SmartLife comprometida podría exponer diversos entornos domésticos conectados del usuario, ya que la aplicación SmartLife gestiona numerosas configuraciones de hogar y dispositivos. Por lo tanto, el compromiso de la cuenta puede provocar repercusiones más graves que van más allá del mero acceso a los perfiles de usuario.

Para solucionar estas vulnerabilidades, ZTE anunció que parcheó completamente todos los problemas reportados, emitiendo avisos el 20 de septiembre de 2026.

Si eres usuario de SmartLife, debes actualizar a la última versión en las tiendas oficiales de aplicaciones y considerar el cambio de tus contraseñas, especialmente si las has reutilizado en otros servicios.

Además, revisar los dispositivos conectados y los miembros del hogar compartido es fundamental para mantener tu seguridad. Para los proveedores, este caso subraya el principio esencial de que los restablecimientos de contraseña deben incluir una verificación en el lado del servidor para proteger las cuentas.