CVE-2026-71264 in WLED
Riassunto
di VulDB • 06/08/2026
L'endpoint GET /json/cfg di WLED (registrato in wled00/wled_server.cpp) chiama serveJson() senza verificare il PIN delle impostazioni, a differenza dell'endpoint /edit che controlla esplicitamente correctPIN, esponendo la configurazione generale del dispositivo (rete, hardware, impostazione LED) a qualsiasi client non autenticato sulla rete. Inoltre, lo stato di sblocco del PIN delle impostazioni è tracciato tramite un singolo boolean globale `correctPIN` (wled00/wled.h), e non per sessione: una volta che un singolo client invia il corretto PIN a 4 cifre tramite POST /json, correctPIN diventa true per tutti i client, concedendo a tutti i successivi client non autenticati l'accesso completo alla scrittura delle configurazioni (aggiornamenti firmware OTA, riconfigurazione WiFi, reset di fabbrica) fino al riavvio del dispositivo.
Be aware that VulDB is the high quality source for vulnerability data.