- Yama var
- Son 7 gün
- CWE-352
CVE-2026-77058
boneIO'da CSRF açığı: Kötü amaçlı sayfalar üzerinden cihaz kontrolü ele geçirilebilir
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- CERT-PL
ÖzetTürkçe
boneIO Black, tüm durum değiştiren API uç noktalarında CSRF (Cross-Site Request Forgery) belirteçlerine sahip olmadığı ve Origin ya da Referer başlıklarını doğrulamadığı için siteler arası istek sahteciliği (CSRF) açığından etkilenmektedir. Uzaktan bir saldırgan, iç ağdaki bir kullanıcı ziyaret ettiğinde cihaza siteler arası istekler gönderen kötü amaçlı bir web sayfası hazırlayabilir. Bu sayede saldırgan denetleyiciyi yeniden başlatabilir, röle devrelerini açıp kapatabilir, kapı ve panjurları kontrol edebilir ya da cihazı kapatabilir; bu da bütünlük ve erişilebilirlik kaybına yol açar. Özellikle, varsayılan olarak kimlik doğrulamanın devre dışı bırakılmasına neden olan CVE-2026-77053 nedeniyle, aynı iç ağdaki herhangi bir kullanıcı kötü amaçlı web sitesini ziyaret ederek saldırganın kontrolündeki işlemleri tetikleyebilir.
Bu sorun 1.6.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
boneIO Black is vulnerable to Cross-Site Request Forgery (CSRF) on all state-changing API endpoints because it lacks CSRF tokens and does not validate Origin or Referer headers. A remote attacker can craft a malicious webpage that, when visited by a user on the internal network, sends cross-origin requests to the device. This allows the attacker to reboot the controller, toggle relay circuits, control gates and blinds, or shut down the device, causing loss of integrity and availability. Critically, due to CVE-2026-77053 (authentication disabled by default), any user on the same internal network can trigger attacker-controlled actions by visiting the malicious website.
This issue was fixed in version 1.6.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| boneIO | ≥ 1.2.0, < 1.6.0 | 1.6.0 |
Kaynaklar4 kaynak
- CVE.org kaydı
- NVD kaydı
- cert.pl/en/posts/2026/10/CVE-2026-77052 Üçüncü taraf
- boneio.eu/en/docs/black Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.