What is CVE-2026-71264?
CVE-2026-71264 is an authentication bypass in WLED's GET /json/cfg endpoint, which calls serveJson() without a settings-PIN check. This allows any unauthenticated client on the network to access the device's configuration details. Users should update WLED to the latest version or apply network-level access controls to restrict this endpoint.
Azərbaycanca: CVE-2026-71264 WLED-in GET /json/cfg endpoint-də autentifikasiya zəifliyidir. serveJson() funksiyası settings-PIN yoxlaması olmadan çağırılır, bu isə şəbəkədəki hər hansı bir müştəriyə cihazın konfiqurasiya məlumatlarını əldə etməyə imkan verir. Cihaz sahibləri WLED-i son versiyaya yeniləməli və ya bu endpoint-i məhdudlaşdırmaq üçün şəbəkə səviyyəsində giriş nəzarəti tətbiq etməlidir.
Related CVEs
link basis: same weakness class CWE-306
FAQ2
What does CVE-2026-71264 allow in WLED devices?
CVE-2026-71264 allows any unauthenticated client on the network to access the device's configuration details due to a missing authentication check on the GET /json/cfg endpoint.
What should WLED users do to protect against CVE-2026-71264?
Users should update WLED to the latest version or apply network-level access controls to restrict the GET /json/cfg endpoint.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.