据TechRadar报道，安全研究人员在一款售价3英镑、从Temu购买的六天线Wi-Fi扩展器中发现了隐藏的管理员账户，该账户使用写入固件的固定密码，所有使用同一固件的设备共享同一组凭证，用户通过设备设置修改可见的管理员密码也无法将其关闭。

该设备由持有渗透测试认证的安全研究员基兰·史密斯（Keiran Smith）购买并检验。他在购物应用的定向广告中看到这款扩展器后下单。拆解硬件时，他识别出常用于低价网络产品的联发科MT7620处理器；随后提取设备内固件，发现一个对其功能拥有完全控制权的隐藏管理员账户。

史密斯说，“硬编码密码”涵盖的情况很广，因此有必要准确说明这件事糟糕在哪里。他指出，本案更严重的地方在于密码在所有设备上完全相同，而不是逐台生成。他说，默认凭证是用户能够看到、被告知并且可以更改的东西，“而这里的情况在每一点上都相反”。据其说明，该密码是编译期常量，并非由MAC地址或序列号派生，因此“每一台售出的设备都相同”。

除隐藏账户外，史密斯还发现一项远程登录服务可接受这组隐藏凭证，攻击者无需物理接触扩展器即可登录。他同时发现一个命令注入缺陷，可能让攻击者通过设备执行未经授权的指令；设备的软件更新环节也缺乏足够保护，存在被安装篡改固件的可能。

史密斯表示，上述问题并不能证明厂商有意设置不安全的恶意功能，它们可能源自工厂测试流程，并在产品面向消费者销售之前被意外保留下来。他还发现，即便技术能力较强的用户找到了该账户，所做的更改也可能在扩展器重启后消失。

这起事件显示出极低价智能设备可能在购买价格之外带来安全风险。消费者往往关注眼前的省钱效果，却难以了解联网设备内部的软件决策。相关发现并不意味着每一款廉价网络设备都存在类似弱点，但说明了基本安全检查的必要性。随着越来越多的家庭添置联网产品，隐藏的软件功能可能成为用户和厂商面临的更大问题。