CVE-2026-49186

KrytyczneCVSS 9.8

Opublikowano: 04/06/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 23/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

Lokalny broker MQTT nie egzekwuje list kontroli dostępu (ACL) na poziomie tematów. Każdy klient może subskrybować z użyciem znaków wieloznacznych (# lub +) w celu enumeracji ukrytych urządzeń sieciowych lub publikowania fałszywych poleceń sterujących.

Ocena ryzyka

Atakujący może uzyskać dostęp do wrażliwych danych z urządzeń sieciowych lub wysyłać fałszywe polecenia, co może zakłócić działanie systemu.

Rekomendacja

Skonfiguruj listy ACL dla tematów MQTT lub zaktualizuj brokera do wersji z poprawką.

Oryginalny opis (angielski, źródło NVD)

The local MQTT broker does not enforce topic-level Access Control Lists (ACLs). This allows any client to subscribe using wildcard characters (# or +) to enumerate hidden network devices or publish rogue control commands.