CVE-2026-82935 mH-DEVELOPER 智能家居模块 使用过时组件漏洞
影响攻击者可利用已知漏洞执行任意代码、窃取数据或拒绝服务
mH-DEVELOPER 智能家居模块的生产固件中使用了已停止支持的 Debian 8 和 Node.js v17.0.1 运行时，导致设备暴露于大量已公开但不再获得安全补丁的漏洞。攻击者可借助这些已知缺陷在设备上执行任意代码、访问敏感数据或造成拒绝服务。
影响范围
mH-DEVELOPER smart home module 固件，具体受影响版本范围暂无公开信息；官方称在 3.0.30 版本中对无法更新的组件进行了更新或加固。
漏洞详情
该漏洞属于使用含已知漏洞的过时第三方组件（Debian 8 与 Node.js v17.0.1 均已停止维护）。由于这些组件不再接收安全补丁，其中公开的漏洞可被攻击者直接利用，进而实现任意代码执行、敏感数据读取或服务中断。
利用条件与风险
利用前提是攻击者能够访问或与设备交互（如通过网络或本地接口），具体前置条件暂无公开信息；实战中此类过时组件漏洞常被扫描并利用，风险较高。
修复建议
官方已在 3.0.30 版本中对无法更新的组件进行更新或加固，建议升级至该版本或更高版本；若无法升级，应限制设备网络暴露并加强访问控制作为临时缓解。
mH-DEVELOPER smart home module ships with an end-of-life, unsupported Debian 8 and Node.js runtime v17.0.1 in its production firmware. This exposes the device to publicly known vulnerabilities that will not receive security patches. An attacker could exploit these known flaws to execute arbitrary code, access sensitive data, or cause a denial of service on the device.
Vulnerable components were updated or hardened, if update was not possible in version 3.0.30