En smart dörrklocka, en ansluten kamera, ett barns leksak och en lokaliserare för att hjälpa till att övervaka barn befanns alla vara sårbara för okomplicerade attacker.
Standard lösenord och dåliga säkerhetsrutiner kunde ha läckt data till angripare, sade forskargrupperna.
Alla fyra företagen har dock agerat på varningarna, skärpt koden och stängt kryphål.
– Problemet med sakernas Internet nuförtiden är att alla blir en IT-butik oavsett om de gillar det eller inte och om de inser det eller inte, säger Tod Beardsley, säkerhetsforskningschef på Rapid7, som upptäckte problem med två av enheterna.
Medan IoT-enhetstillverkare skrev kod mer säkert, tog få de extra designstegen för att se till att programmeringen de satte i smarta enheter var säker, fann forskarna.
Beardsley kollade säkerheten i två enheter från olika företag:
Det sätt björnen kommunicerade med webben var dåligt konfigurerad, fann han, så angripare kunde ha förhört den för att ta reda på mer om dess unga ägare, deras familj och hemnätverk.
Liknande problem hittades med HereO klocka som kunde ha låtit en angripare lägga sig till en grupp av klockor som används av en familj eller annan grupp.
Här är chef teknikofficer sa att hans team åtgärdat felet inom fyra timmar efter att ha blivit varnad för det.
"Vi uppskattar inte bara Rapid7 feedback, men också välkomna och omfamna värdefulla stöd av den globala IoT [internet of things] gemenskap i våra obevekliga ansträngningar att upprätthålla en bar-none, noll-tolerans miljö för säkerhet och säkerhet för våra användare," sade Eli Shemesh.
"Som HereO vid den tiden hade ännu att kommersialisera sina GPS-klockor, var på ingen punkt något barn som riskerar någon skadlig aktivitet."
Separat, forskare på Context IS avslöjade säkerhetsproblem med en Motorola Focus utomhus kamera.
Om de utnyttjas, kan felen tillåta att en kamera tas över och fjärrstyrs av en angripare och används som en ingång för att infiltrera ett nätverk som den var ansluten till.
Säkerhetsexperter på Pentest Partners hittade också problem med Ring - en smart dörrklocka utrustad med en videokamera som använder en app för att stråla video av samtal till en telefon.
Men genom att ta bort omslaget på gadgeten och trycka på dess uppsättningsnyckel blir det möjligt att återställa nyckeln till wi-fi-nätverket som den är ansluten till, hittade säkerhetstestningsföretaget.
Alla säkerhetsbrister som forskarna upptäckte rapporterades till respektive företag och alla har nu lappats ihop eller rättats till.
Ken Munro från Pentest Partners sa att Era Home Security var "snabb att svara" på rapporten från buggen.
Tod Beardsley från Rapid7 sa att få säkerhetsbuggarna rättade i de två enheter han studerade var ett "bra och överraskande resultat".
"Jag väntade mig den vanliga känslomässiga reaktionen av, "Hur vågar du hacka våra grejer?" och "Vad är din motivation?" berättade han för BBC.
"Men båda företagen var väldigt mogna för det."
Han tillade att det inte fanns några rapporter om IoT-enheter som riktades mot angripare ännu men säkerhetsföretag var angelägna om att få produktdesigners tänka på sätt att säkra sina skapelser så snart som möjligt.
Branschinitiativ som BuildItSecure.ly har skapats som försöker utbilda gadgettillverkare om säker kodning.
"Vi ser utbyggnaden av internet av saker enheter accelerera", sade han, "men vi kan fortfarande komma före kurvan och förhindra vissa framtida katastrofer."
Ny forskning har lyft fram säkerhetsfrågor på fyra separata smarta prylar.