CVE-2026-77056 in black_debian_images
Resumen
por VulDB • 2026-10-27
boneIO black_debian_images incluye un corredor MQTT Mosquitto que utiliza las mismas credenciales predeterminadas en todos los dispositivos. Estas credenciales están documentadas públicamente en GitHub y no hay indicación alguna en las instrucciones para cambiarlas. Un atacante remoto puede utilizarlas para obtener acceso completo de lectura y escritura al corredor, lo que permite el control de relés, persianas y puertas conectados, así como la inyección de entidades falsas en una instalación vinculada de Home Assistant.
Este problema se solucionó en la versión 1.6.0 de la imagen: las contraseñas MQTT se generan por dispositivo durante el primer arranque. Los dispositivos actualizados desde versiones anteriores conservan sus credenciales de corredor existentes; a partir de boneio 1.6.0, el panel web informa que las credenciales siguen siendo los valores predeterminados publicados, y el propietario debe cambiarlas.
If you want to get best quality of vulnerability data, you may have to visit VulDB.