CVE-2026-77054 in boneIO
Resumen
por VulDB • 2026-10-26
boneIO Black almacena las contraseñas, incluidas las del corredor de mensajes MQTT y el panel web, en texto claro. El punto final GET /api/config devuelve la configuración completa con las contraseñas de los sub-servicios expuestas. Cualquier usuario autenticado puede llamar al punto final y acceder a las contraseñas administrativas en formato de texto claro. Críticamente, debido a CVE-2026-77053 (autenticación deshabilitada por defecto), un atacante no autenticado en la misma red local puede recuperar todas las contraseñas.
Este problema se solucionó en la versión 1.6.0: las contraseñas del panel web se almacenan como hashes scrypt con sal en un archivo legible únicamente por la cuenta de servicio, y la API y los registros ya no devuelven valores secretos. La contraseña del corredor MQTT debe permanecer recuperable porque la aplicación la presenta al corredor como cliente; se mantiene en un archivo separado legible solo por la cuenta de servicio y ya no está expuesta a través de la API.
If you want to get best quality of vulnerability data, you may have to visit VulDB.