What is CVE-2026-71273?
CVE-2026-71273 is a vulnerability in OpenBK7231T's `/cfg_wifi_set` endpoint that accepts configuration changes via a plain GET request without a CSRF token, and clears the web admin password to an empty string if the `web_admin_password_enabled` parameter is missing. This allows authentication bypass due to the lack of CSRF protection. Affected device owners should restrict the endpoint, implement CSRF protection, and urgently apply firmware updates.
Azərbaycanca: CVE-2026-71273, OpenBK7231T cihazındakı `/cfg_wifi_set` endpoint-inin sadə GET sorğusu ilə konfiqurasiya dəyişikliklərini qəbul etməsi və `web_admin_password_enabled` parametri olmadıqda veb admin parolunu boş qiymətə sıfırlaması zəifliyidir. Bu, tətbiqdə CSRF token-inin olmaması səbəbindən autentifikasiyanı yan keçməyə imkan verir. Təsirə məruz qalan cihaz sahibləri endpoint-i məhdudlaşdırmalı, CSRF qoruması əlavə etməli və firmware yeniləmələrini təcili tətbiq etməlidir.
Related CVEs
link basis: same weakness class CWE-352
FAQ1
How does CVE-2026-71273 allow authentication bypass in OpenBK7231T devices?
CVE-2026-71273 allows authentication bypass because the `/cfg_wifi_set` endpoint accepts configuration changes via a plain GET request and clears the web admin password to an empty string when the `web_admin_password_enabled` parameter is missing. The lack of a CSRF token in the application facilitates this vulnerability.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.