CVE-2026-119755
WysokieCVSS 7.5Streszczenie
Tasmota do wersji 16.0.0 (naprawione w commicie 1cb7ebc) zawiera podatność cross-site request forgery, która pozwala nieuwierzytelnionym atakującym obejść ochronę CSRF opartą na Referer w HttpCheckPriviledgedAccess() poprzez spreparowanie nagłówka Referer, w którym nazwa hosta lub IP urządzenia występuje jako podciąg bezpośrednio po http://evil.com/. Atakujący może zwabić administratora w sieci urządzenia na złośliwą stronę, aby wydać dowolne polecenia konsoli i zmienić konfigurację Wi-Fi, MQTT, ustawienia lub firmware na urządzeniach bez WebPassword.
Ocena ryzyka
Atakujący może zmienić konfigurację sieciową, MQTT, ustawienia lub firmware urządzenia Tasmota, co może prowadzić do przejęcia urządzenia lub wstrzyknięcia złośliwego oprogramowania. Ryzyko dotyczy urządzeń bez ustawionego WebPassword.
Rekomendacja
Zaktualizuj Tasmota do wersji zawierającej commit 1cb7ebc lub nowszej oraz ustaw WebPassword na wszystkich urządzeniach. Ogranicz dostęp administracyjny do urządzeń do zaufanych sieci.
Inne podatności w Tasmota
Zobacz wszystkie- CVE-2026-119756Krytyczne
Tasmota do wersji 16.0.0 (naprawione w commicie e97e1e4) zawiera podatność heap out-of-bounds write w SendReceiveDeviceGroupMessage(), pozwalającą nieuwierzytelnionym atakującym w sieci lokalnej na uszkodzenie pamięci sterty poprzez wysyłanie spreparowanych wiadomości Device Groups przez UDP port 4447. Wiadomości powodują, że licznik log_remaining staje się ujemny, a zapisy przekraczają stały bufor 512 bajtów. Może to doprowadzić do awarii urządzenia lub potencjalnie wykonania kodu na platformach ESP8266 i ESP32 pozbawionych ASLR i heap cookies.
- CVE-2026-38427Wysokie
Wersja Tasmota do 15.3.0.3 zawiera problem w funkcji fetch_jpg(), który pozwala zdalnemu atakującemu na spowodowanie przepełnienia bufora na stercie. Długość zawartości z strumienia JPEG jest przechowywana w zmiennej uint16_t, co prowadzi do alokacji mniejszego bufora niż odczytane dane, gdy wartość przekracza 65535.
Oryginalny opis (angielski, źródło NVD)
Tasmota through 16.0.0, fixed in commit 1cb7ebc, contains a cross-site request forgery vulnerability that allows unauthenticated attackers to bypass Referer-based CSRF protection in HttpCheckPriviledgedAccess() by crafting a Referer header where the device hostname or IP appears as a substring immediately after http://.evil.com/. Attackers can lure an administrator on the device's network to a malicious page to issue arbitrary console commands and reconfigure Wi-Fi, MQTT, settings, or firmware on devices lacking a WebPassword.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS