PT-2026-60997 · Sipeed · Picoclaw

Eric-I · CVE-2026-16198 · Publicado 2026-07-18 · Atualizado 2026-07-19

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.6

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Sipeed PicoClaw versões anteriores a 0.3.0

Description Existe uma falha de bypass de autenticação no componente First Run Setup, dentro do arquivo web/backend/middleware/access control.go. Um invasor remoto pode ignorar a autenticação usando um canal alternativo ao manipular o argumento allowed cidrs. CIDR (Classless Inter-Domain Routing) é um método para alocação de endereços IP e roteamento de pacotes IP.

Recommendations Aplique o patch 017601354be38cb027ff3ffb01aed79bd5d12610 para resolver o problema.

Exploit

Correção

Authentication Bypass Using an Alternate Path or Channel

Improper Authentication

Enumeração de Fraquezas

CWE-288

CWE-287

Identificadores relacionados

CVE-2026-16198

Produtos afetados

Picoclaw

Referências · 10

• 🔥 https://github.com/sipeed/picoclaw/issues/3080 · Exploit
• https://github.com/sipeed/picoclaw/commit/017601354be38cb027ff3ffb01aed79bd5d12610 · Correção
• https://github.com/sipeed/picoclaw/pull/3083 · Correção
• https://vuldb.com/submit/852965 · Nota
• https://vuldb.com/vuln/380014 · Nota
• https://github.com/sipeed/picoclaw · Nota
• https://vuldb.com/cve/CVE-2026-16198 · Nota
• https://vuldb.com/vuln/380014/cti · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-16198 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2078676849274581016 · Publicação no Twitter