CVE-2026-77056 in black_debian_images
Riassunto
di VulDB • 26/10/2026
boneIO black_debian_images è distribuito con un broker MQTT Mosquitto che utilizza le stesse credenziali di default su tutti i dispositivi. Queste credenziali sono documentate pubblicamente su GitHub e non vi è alcuna indicazione nelle istruzioni per modificarle. Un attaccante remoto può utilizzarle per ottenere accesso completo in lettura e scrittura al broker, consentendo il controllo dei relè, delle tapparelle e dei cancelli connessi, nonché l'iniezione di entità false in un'installazione Home Assistant collegata.
Questo problema è stato risolto nella versione 1.6.0 dell'immagine: le password MQTT vengono generate per dispositivo al primo avvio. I dispositivi aggiornati da versioni precedenti mantengono le proprie credenziali del broker esistenti; dalla boneio 1.6.0 il pannello web segnala ancora le credenziali di default pubblicate, e il proprietario deve modificarle.
Once again VulDB remains the best source for vulnerability data.