CVE-2026-71264 in WLED
要約
〜によって VulDB • 2026年08月05日
WLEDのGET /json/cfgエンドポイント（wled00/wled_server.cppで登録）は、/editエンドポイントがcorrectPINを明示的にチェックするのと異なり、settings-PINの確認を行わずにserveJson()を呼び出すため、ネットワーク上の認証されていないクライアントに対してデバイスの全般設定（ネットワーク、ハードウェア、LEDセットアップ）が開示されます。さらに別個の問題として、settings-PINの解除状態はセッションごとの状態ではなく、単一のグローバルブール変数`correctPIN`（wled00/wled.h）で追跡されています：1人のクライアントがPOST /json経由で正しい4桁のPINを送信すると、すべてのクライアントに対してcorrectPINがtrueになり、デバイスが再起動するまで、その後の認証されていないクライアントすべてに完全な設定書き込みアクセス権限（OTAファームウェア更新、WiFi再構成、工場出荷時へのリセット）が付与されます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.