CVE-2026-15318
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W komponencie MQTT Channel Handler w Sipeed PicoClaw do wersji 0.2.9 wykryto słabość polegającą na nieprawidłowej autoryzacji poprzez manipulację argumentem client_id w pliku pkg/channels/mqtt/mqtt.go. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.
Ocena ryzyka
Organizacja narażona jest na zdalne ataki wykorzystujące nieprawidłową autoryzację, co może prowadzić do nieautoryzowanego dostępu do systemu i potencjalnego przejęcia kontroli nad urządzeniami IoT.
Rekomendacja
Należy natychmiast zaktualizować Sipeed PicoClaw do najnowszej dostępnej wersji, która usuwa tę podatność, lub zastosować tymczasowe zabezpieczenia sieciowe blokujące nieautoryzowane żądania MQTT.
Inne podatności w Sipeed PicoClaw
Zobacz wszystkie- CVE-2026-16198Średnie
Podatność w Sipeed PicoClaw do wersji 0.2.9 w pliku web/backend/middleware/access_control.go umożliwia ominięcie uwierzytelnienia poprzez manipulację argumentem allowed_cidrs. Atak jest zdalny, ale wymaga wysokiej złożoności i jest trudny do wykorzystania. Exploit jest publicznie dostępny.
- CVE-2026-16197Średnie
Wykryto podatność w Sipeed PicoClaw do wersji 0.2.9. Problem dotyczy funkcji handleMessageReceive w pliku pkg/channels/feishu/feishu_64.go komponentu Group Message Handler, co prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-16196Średnie
W komponencie web_fetch w Sipeed PicoClaw do wersji 0.2.9 wykryto słabość umożliwiającą fałszowanie żądań po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16195Średnie
W produkcie Sipeed PicoClaw do wersji 0.2.9 wykryto lukę w funkcji dispatchIncoming w pliku pkg/channels/wecom/wecom.go komponentu Group Message Handler. Problem polega na nieprawidłowej autoryzacji, co umożliwia zdalne wykorzystanie podatności. Exploit został opublikowany i może być używany w atakach.
- CVE-2026-16085Średnie
W produkcie Sipeed PicoClaw do wersji 0.2.9 wykryto podatność w funkcji NewContextBuilder w pliku pkg/agent/context.go. Luka umożliwia włączenie funkcjonalności z niezaufanej sfery kontrolnej, co może prowadzić do nieautoryzowanego działania. Atak wymaga dostępu lokalnego, a exploit został publicznie ujawniony.
- CVE-2026-16084Wysokie
W produkcie Sipeed PicoClaw do wersji 0.2.9 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF). Problem występuje w funkcji web_fetch w pliku pkg/tools/integration/web.go. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16083Średnie
W komponencie LINE Webhook biblioteki Sipeed PicoClaw do wersji 0.2.9 wykryto podatność polegającą na obejściu uwierzytelniania poprzez atak typu przechwyć-odtwórz (capture-replay). Problem dotyczy funkcji webhook.ParseRequest w pliku pkg/channels/line/line.go. Atak może być przeprowadzony zdalnie, a publicznie dostępny exploit zwiększa ryzyko wykorzystania.
- CVE-2026-16082Średnie
Sipeed PicoClaw do wersji 0.2.9 zawiera podatność typu time-of-check time-of-use (TOCTOU) w funkcji ExecTool.executeRun. Lokalny atakujący może wykorzystać tę lukę do naruszenia integralności danych.
- CVE-2026-16081Średnie
W produkcie Sipeed PicoClaw do wersji 0.2.9 wykryto podatność na fałszerstwo żądań międzywitrynowych (CSRF) w nieznanej funkcji pliku web/backend/api/auth.go. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-15320Średnie
W produkcie Sipeed PicoClaw do wersji 0.2.9 wykryto podatność polegającą na braku autoryzacji w funkcji rt.ReloadConfig pliku pkg/channels/pico/pico.go. Manipulacja argumentem message.send umożliwia zdalne wykorzystanie luki. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in Sipeed PicoClaw up to 0.2.9. Affected by this issue is some unknown functionality of the file pkg/channels/mqtt/mqtt.go of the component MQTT Channel Handler. This manipulation of the argument client_id causes incorrect authorization. The attack is possible to be carried out remotely. The exploit has been made available to the public and could be used for attacks. The reported GitHub issue was closed automatically due to inactivity.