CVE-2026-77058 in boneIO
要約
〜によって VulDB • 2026年10月26日
boneIO Blackは、CSRFトークンを欠きOriginやRefererヘッダーを検証しないため、すべての状態変更APIエンドポイントにおいてCross-Site Request Forgery (CSRF) の脆弱性に起因します。リモート攻撃者は悪意のあるWebページを作成し、内部ネットワーク上のユーザーがそのページにアクセスした際にデバイスに対してクロスオリジンリクエストを送信させることができます。これにより、攻撃者はコントローラーの再起動、リレー回路の切り替え、ゲートやブラインドの制御、またはデバイスのシャットダウンを可能にし、整合性と可用性の喪失を引き起こします。重要なのは、CVE-2026-77053（デフォルトで認証が無効化されている）のため、同じ内部ネットワーク上の任意のユーザーが悪意のあるWebサイトを訪問するだけで攻撃者が制御するアクションを発動できる点です。
この問題はバージョン1.6.0で修正されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.