PT-2026-68137
CVE-2026-71264
·
تاريخ النشر
2026-08-05
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
WLED (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يحتوي البرنامج على ثغرتين أمنيتين. أولاً، تقوم نقطة النهاية ’GET /json/cfg‘ باستدعاء الدالة
serveJson() دون التحقق من رقم التعريف الشخصي (PIN) الخاص بالإعدادات، مما يسمح لأي عميل غير مصدق عليه على الشبكة بالاطلاع على تفاصيل التكوين العامة، بما في ذلك إعدادات الشبكة والأجهزة ومصابيح LED. ثانيًا، تتم إدارة حالة إلغاء قفل رقم التعريف الشخصي (PIN) الخاص بالإعدادات بواسطة متغير منطقي عالمي واحد هو correctPIN بدلاً من حالة خاصة بكل جلسة. ونتيجة لذلك، إذا قدم أي عميل رقم التعريف الشخصي (PIN) الصحيح المكون من 4 أرقام عبر نقطة النهاية ’POST /json‘، يتم تعيين المتغير correctPIN على القيمة ”صحيح“ (true) لجميع المستخدمين. وهذا يمنح جميع العملاء غير المصادق عليهم اللاحقين حق الوصول الكامل للكتابة إلى التكوين، مما يتيح إجراءات مثل تحديثات البرامج الثابتة عبر الهواء (OTA)، وإعادة تكوين شبكة WiFi، وإعادة الضبط إلى إعدادات المصنع حتى يتم إعادة تشغيل الجهاز.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾