- Yama var
- Son 7 gün
- CWE-306
CVE-2026-77061
boneIO cihazında kritik işlevler için kimlik doğrulama eksikliği
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- CERT-PL
ÖzetTürkçe
boneIO Black, bazı API uç noktalarını kimlik doğrulamasının dışında bırakmaktadır. Yerel ağdaki kimliği doğrulanmamış uzak bir saldırgan, sistem günlüklerini, firmware sürümünü, seri numarasını, MQTT kullanıcı adını, yapılandırma dosyası listelerini ve API dokümantasyonunu alabilir. Bu veriler keşif çalışmalarına yardımcı olur ve cihaza yönelik hedefli saldırıları mümkün kılar. Sorun, 1.6.0 sürümünde giderilmiştir: her API rotası kimliği doğrulanmış bir rol gerektirmekte, etkileşimli API dokümantasyonu devre dışı bırakılmakta ve seri numarası anonim istemcilerden gizlenmektedir.
Kaynaktaki açıklama (İngilizce)
boneIO Black directly excludes several API endpoints from the authentication. An unauthenticated remote attacker on the local network can retrieve system logs, firmware version, serial number, MQTT username, configuration file listings, and API documentation. This data aids reconnaissance and enables targeted attacks against the device.
This issue was fixed in version 1.6.0: every API route requires an authenticated role, the interactive API documentation is disabled, and the serial number is withheld from anonymous callers.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| boneIO | ≥ 1.2.0, < 1.6.0 | 1.6.0 |
Kaynaklar4 kaynak
- CVE.org kaydı
- NVD kaydı
- cert.pl/en/posts/2026/10/CVE-2026-77052 Üçüncü taraf
- boneio.eu/en/docs/black Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.