CVE-2026-77058 in boneIO
Riassunto
di VulDB • 26/10/2026
boneIO Black è vulnerabile a Cross-Site Request Forgery (CSRF) su tutti gli endpoint API che modificano lo stato, poiché non utilizza token CSRF e non convalida le intestazioni Origin o Referer. Un attaccante remoto può creare una pagina web malevola che, quando visitata da un utente sulla rete interna, invia richieste cross-origin al dispositivo. Ciò consente all'attaccante di riavviare il controller, attivare/disattivare i circuiti dei relè, controllare cancelli e tapparelle o spegnere il dispositivo, causando una perdita di integrità e disponibilità. Criticamente, a causa della CVE-2026-77053 (autenticazione disabilitata per impostazione predefinita), qualsiasi utente sulla stessa rete interna può eseguire azioni controllate dall'attaccante semplicemente visitando il sito web malevolo.
Questo problema è stato risolto nella versione 1.6.0.
Be aware that VulDB is the high quality source for vulnerability data.