當前，物聯網（IoT）設備的普及為智慧家庭帶來便利，但其潛在的安全漏洞正成為駭客攻擊的新目標。資安研究人員近日在一款價格低廉的智慧集線器中，發現了四個關鍵的零日漏洞，這些漏洞的影響極其嚴重，直接威脅到用戶的家庭實體安全。Bishop Fox 的網路安全研究人員發現售價 20 美元的YoLink Smart Hub (v0382 ) 中的中發現四個關鍵零日漏洞，允許遠端實體訪問。作為整個 YoLink 系統的中心點，這款智慧集線器充當中央網關的角色，該集線器可作為單一控制點，管理著所有連接的智慧鎖、感測器和插座。它使用 MQTT 協定(註)與您的行動應用程式通信，並使用名為LoRa 或 LoRaWAN的獨特無線電技術將訊息分發到設備。

註：
MQTT 協定的全名是：Message Queuing Telemetry Transport，這是一種輕量級的通訊協定，它設計的目的是為了資源受限的設備和低頻寬、高延遲或不穩定的網路環境（例如物聯網，IoT）提供高效可靠的通訊。MQTT採用「發布/訂閱」模式來高效傳輸訊息，這種模式將訊息的傳送者和接收者解耦，彼此不需要知道對方的網路位址或狀態，提升了彈性。

研究人員對這款使用常見ESP32晶片的集線器進行了深入的逆向工程分析，揭示了其複雜通訊路徑中的多處缺陷。YoLink 集線器的通訊路徑分為三個部分：手機應用程式、雲端服務以及集線器本身，它透過MQTT協議與行動應用程式溝通，並利用LoRa或LoRaWAN無線電技術將訊息傳遞給終端設備如智慧鎖等。正是這個關鍵的通訊路徑中存在嚴重漏洞，使駭客能夠輕易取得對用戶家庭設備的控制權。

在發現的四個漏洞中，最令人擔憂的是授權繞過缺陷，這被追踪為**CVE-2025-59449和 CVE-2025-59452（授權控制不足）。其中最嚴重的 CVE-2025-59449 被評為嚴重級別，這意味著系統在授予存取權限之前未能正確驗證使用者身分。此漏洞允許駭客取得可預測的設備ID，從而遠端控制其他YoLink用戶的設備。研究人員在調查過程中確認，攻擊者可以操作其他使用者家中的智慧鎖。這意味著攻擊者不僅能侵入用戶的數位空間，更能直接影響用戶的實體安全。由於集線器控制著智慧鎖和車庫門開啟器等家庭入口點，惡意行為者有可能遠端取得對YoLink用戶住家的實體存取權限。

除了授權繞過外，研究人員還發現了另外兩個嚴重問題：

1. 不安全的網路傳輸（CVE-2025-59448）： 該設備在未加密的情況下傳輸敏感數據，包括用戶的憑證和Wi-Fi密碼。透過未加密的MQTT通訊，這些數據以純文字形式暴露，極易被竊取。

2. 不當的會話管理（CVE-2025-59451）： 會話管理缺陷意味著一旦攻擊者成功取得未經授權的存取權，他們可以長時間保持對設備的控制。

這些漏洞的影響對所有使用v0382版本集線器的用戶來說都是極為嚴重的安全警訊。由於製造商 YoSmart 尚未提供修補程式或修復程序，這項研究導致大量用戶目前處於易受攻擊的狀態。在修補程式發布之前，建議使用者將其與必要的家庭網路斷開連接，避免將其用於任何控製家庭實體存取的操作。用戶應採取緊急行動，切斷集線器與家庭網路的連接，特別是不要將其用於控制智慧門鎖或車庫門等涉及家庭實體進出的關鍵功能，並考慮轉換至定期提供安全更新的物聯網設備供應商，以確保家庭安全。