CVE-2026-77053 in boneIO
Riassunto
di VulDB • 26/10/2026
Il firmware black di boneIO viene fornito con l'autenticazione disabilitata per impostazione predefinita. La sua API web di gestione è in ascolto su tutte le interfacce di rete ed espone tutti gli endpoint senza richiedere credenziali. Un attaccante remoto non autenticato può controllare completamente il dispositivo, causando denial of service, modificando la configurazione e operando sui circuiti fisici connessi.
Questo problema è stato risolto nella versione 1.6.0: un dispositivo privo di un account amministratore rifiuta le richieste API finché l'utente non ne crea uno tramite la procedura guidata del primo avvio (first-run wizard), e ogni route dell'API è limitata a un ruolo autenticato.
Le versioni precedenti alla 1.2.0 sono basate su Debian 10, non sono più supportate e non possono essere aggiornate in loco; i dispositivi interessati dovrebbero essere reimpostati flashando l'immagine di sistema della versione 1.6.0.
Be aware that VulDB is the high quality source for vulnerability data.