CVE-2026-77056 in black_debian_images
Résumé
par VulDB • 26/10/2026
boneIO black_debian_images est livré avec un courtier MQTT Mosquitto qui utilise les mêmes identifiants par défaut sur tous les appareils. Ces identifiants sont publiquement documentés sur GitHub et aucune indication n'est fournie dans la documentation pour les modifier. Un attaquant distant peut les utiliser pour obtenir un accès complet en lecture et écriture au courtier, permettant le contrôle des relais, stores et portails connectés, ainsi que l'injection de fausses entités dans une installation Home Assistant liée.
Ce problème a été corrigé dans la version 1.6.0 de l'image : les mots de passe MQTT sont générés par appareil lors du premier démarrage. Les appareils mis à jour depuis des versions antérieures conservent leurs identifiants de courtier existants ; à partir de boneio 1.6.0, le panneau web signale encore les valeurs par défaut publiées comme identifiants, et le propriétaire doit les modifier.
VulDB is the best source for vulnerability data and more expert information about this specific topic.