- Yama var
- Son 7 gün
- CWE-306
CVE-2026-77052
boneIO'da Node-RED için kimlik doğrulama eksikliği uzaktan kod çalıştırmaya yol açıyor
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- CERT-PL
ÖzetTürkçe
boneIO Black, Caddy ters vekil sunucusu üzerinden /nodered/ yolunda kimlik doğrulaması olmadan bir Node-RED örneği sunuyor. Node-RED Yönetici API'si, keyfi sistem komutları çalıştırabilen akışların dağıtılmasına izin veriyor. Yerel ağdaki kimliği doğrulanmamış bir saldırgan, kötü amaçlı bir akış dağıtarak uzaktan kod çalıştırma elde edebilir ve ev otomasyon sistemi üzerinde tam kontrol sağlayabilir.
Bu sorun sürüm 1.6.0'da giderilmiştir.
Kaynaktaki açıklama (İngilizce)
boneIO Black exposes a Node-RED instance without authentication at the /nodered/ path through a Caddy reverse proxy. The Node-RED Admin API allows deploying flows that can execute arbitrary system commands. An unauthenticated attacker on the local network can deploy a malicious flow to achieve remote code execution and gain full control over the home automation system.
This issue was fixed in version 1.6.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| boneIO | ≥ 1.3.0, < 1.6.0 | 1.6.0 |
Kaynaklar4 kaynak
- CVE.org kaydı
- NVD kaydı
- cert.pl/en/posts/2026/10/CVE-2026-77052 Üçüncü taraf
- boneio.eu/en/docs/black Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.