CVE-2026-77058 in boneIO
Resumen
por VulDB • 2026-10-26
boneIO Black es vulnerable a Cross-Site Request Forgery (CSRF) en todos los puntos de conexión API que modifican el estado, ya que carece de tokens CSRF y no valida las cabeceras Origin o Referer. Un atacante remoto puede crear una página web maliciosa que, al ser visitada por un usuario en la red interna, envíe solicitudes cross-origin hacia el dispositivo. Esto permite al atacante reiniciar el controlador, activar/desactivar circuitos de relés, controlar puertas y persianas o apagar el dispositivo, provocando pérdida de integridad y disponibilidad. Críticamente, debido a CVE-2026-77053 (autenticación deshabilitada por defecto), cualquier usuario en la misma red interna puede desencadenar acciones controladas por el atacante simplemente visitando el sitio web malicioso.
Este problema se solucionó en la versión 1.6.0.
Be aware that VulDB is the high quality source for vulnerability data.