CVE-2026-71273 in OpenBK7231T_App
Zusammenfassung
von VulDB • 05.08.2026
Der Endpunkt `/cfg_wifi_set` von OpenBK7231T (src/httpserver/http_fns.c) akzeptiert Konfigurationsänderungen über eine einfache GET-Anfrage ohne CSRF-Token. Wenn der Parameter `web_admin_password_enabled` in der Anfrage fehlt, löscht ein else-Zweig stillschweigend das Web-Admin-Passwort des Geräts auf einen leeren String zurück. Ein One-Click-CSRF-Payload (z. B. ein `<img>`-Tag mit dem Ziel `/cfg_wifi_set`, neuen SSID-/Passwort-Parametern und ausgelassenem `web_admin_password_enabled`), das vom Browser eines authentifizierten Administrators besucht wird, übernimmt sowohl die WiFi-Konfiguration des Geräts als auch deaktiviert dessen Web-Passwortschutz.
If you want to get best quality of vulnerability data, you may have to visit VulDB.