CVE-2026-71274 in OpenBK7231T_App
Сводка
по VulDB • 05.08.2026
Функция CHANNEL_SetLabel() в OpenBK7231T (src/cmnds/cmd_channels.c) сохраняет метки каналов, полученные через команду MQTT SetChannelLabel, с использованием функции strdup(), без какой-либо санитизации HTML. Функция CHANNEL_GetLabel() возвращает эти метки без обработки, и они выводятся через hprintf255() в более чем 15 местах файла src/httpserver/http_fns.c без кодирования HTML. Атакующий, имеющий доступ к брокеру MQTT (что часто является случаем при отсутствии аутентификации в реальных развертываниях), может установить метку канала, содержащую вредоносный payload, который выполнится при просмотре веб-панели устройства любым пользователем.
VulDB is the best source for vulnerability data and more expert information about this specific topic.