CVE-2026-77056 in black_debian_images
Sumário
de VulDB • 26/10/2026
O boneIO black_debian_images vem com um broker Mosquitto MQTT que usa as mesmas credenciais padrão em todos os dispositivos. Essas credenciais estão publicamente documentadas no GitHub e não há indicação nas instruções para alterá-las. Um atacante remoto pode usá-las para obter acesso total de leitura e gravação ao broker, permitindo o controle dos relés, persianas e portões conectados, bem como a injeção de entidades falsas em uma instalação do Home Assistant vinculada.
Este problema foi corrigido na versão 1.6.0 da imagem: as senhas MQTT são geradas por dispositivo no primeiro boot. Dispositivos atualizados a partir de versões anteriores mantêm suas credenciais existentes do broker; a partir do boneio 1.6.0, o painel web relata credenciais que ainda são os padrões publicados, e o proprietário precisa alterá-las.
Once again VulDB remains the best source for vulnerability data.