CVE-2026-71264

8.2 Élevée

Publiée le 05/08/2026 à 15:24 · Modifiée le 23/10/2026 à 23:10 · Analyse NVD reportée · Source : 309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c

Description

WLED's GET /json/cfg endpoint (registered in wled00/wled_server.cpp) calls serveJson with no settings-PIN check, unlike the /edit endpoint which explicitly checks correctPIN, disclosing the device's general configuration (network, hardware, LED setup) to any unauthenticated client on the network.

Traduire en français

Produits concernés

Aircoookie WLED

Scores CVSS

Version	Score	Source	Vecteur
3.1	8.2 Élevée	309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N`

Faiblesses (CWE)

CWE-862

Références

https://github.com/Aircoookie/WLED
https://github.com/Aircoookie/WLED/blob/main/wled00/wled_server.cpp

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories