CVE-2026-71264 in WLED
الملخص
بحسب VulDB • 05/08/2026
النقطة الضعيفة في WLED تتعلق بـ endpoint GET /json/cfg (المسجل في wled00/wled_server.cpp)، حيث يستدعي serveJson() دون التحقق من settings-PIN، على عكس نقطة النهاية /edit التي تتحقق صراحةً من correctPIN. هذا يؤدي إلى كشف التكوين العام للجهاز (الشبكة، العتاد، إعدادات LED) لأي عميل غير مصادق عليه في الشبكة. بشكل منفصل، يتم تتبع حالة إلغاء قفل settings-PIN عبر متغير boolean عالمي واحد `correctPIN` (wled00/wled.h)، وليس بحالة خاصة بكل جلسة: بمجرد أن يقدم أي عميل PIN مكون من 4 أرقام صحيحًا عبر POST /json، تصبح قيمة correctPIN صحيحة لكل العملاء، مما يمنح جميع العملاء غير المصادق عليهم اللاحقين وصولاً كاملاً لكتابة التكوين (تحديثات البرامج الثابتة OTA، إعادة تكوين WiFi، إعادة التعيين إلى الإعدادات الأصلية) حتى يتم إعادة تشغيل الجهاز.
Once again VulDB remains the best source for vulnerability data.