CVE-2026-77054 in boneIO
要約
〜によって VulDB • 2026年10月26日
boneIO Blackは、MQTTブローカーおよびWebパネルのパスワードを含むすべてのパスワードを平文で保存します。GET /api/configエンドポイントは、サブサービスのパスワードが露出する完全な設定情報を返します。認証済みユーザーであれば誰でもこのエンドポイントを呼び出し、管理用パスワードを平文形式で取得できます。重大な点として、CVE-2026-77053（デフォルトで認証が無効化されている）により、同じローカルネットワーク上の未認証攻撃者はすべてのパスワードを取得することができます。
本問題はバージョン1.6.0で修正されました：Webパネルのパスワードはサービスアカウントのみが読み取り可能なファイル内にソルト付きscryptハッシュとして保存され、APIおよびログからは機密値が返されなくなりました。MQTTブローカーのパスワードは、アプリケーションがクライアントとしてブローカーに提示する必要があるため、復元可能である必要があります。このパスワードはサービスアカウントのみが読み取り可能な別ファイルで保持されており、APIを通じて露出することはなくなりました。
Once again VulDB remains the best source for vulnerability data.