高 8.7

boneIOの脆弱性、認証なしでNode-REDを操作されリモートでコードを実行される

CVE-2026-77052 SecPulse初出 10月26日 23:45

概要

boneIO Blackでは、Node-REDの管理APIが認証なしで/nodered/パスから利用できる状態になっており、同じローカルネットワーク上の攻撃者が悪意のあるフローを配備してシステムのコマンドを実行できます。影響を受けるのは1.3.0以上1.6.0未満のboneIOで、1.6.0で修正されています。ホーム自動化システムを丸ごと乗っ取られるおそれがあるため、早めに1.6.0へ更新してください。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
boneIO	boneIO	1.3.0 以上 1.6.0 未満	1.6.0

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

boneIO Black exposes a Node-RED instance without authentication at the /nodered/ path through a Caddy reverse proxy. The Node-RED Admin API allows deploying flows that can execute arbitrary system commands. An unauthenticated attacker on the local network can deploy a malicious flow to achieve remote code execution and gain full control over the home automation system.

This issue was fixed in version 1.6.0.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory