CVE-2026-116017

ŚrednieCVSS 4.3

Opublikowano: 24/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 24/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Xiaozhi-esp32-server przed wersją 0.9.8 zawiera podatność niezabezpieczonego bezpośredniego odwołania do obiektu (IDOR) w handlerze DeviceController.getAddressBook w manager-api, która pozwala uwierzytelnionym użytkownikom czytać książki adresowe urządzeń innych użytkowników. Atakujący z zwykłym lub samodzielnie zarejestrowanym kontem może wysłać żądanie /device/address-book/{macAddress} z adresem MAC urządzenia innego użytkownika, aby uzyskać adresy MAC kontaktów, aliasy, uprawnienia do połączeń i identyfikatory właścicieli.

Ocena ryzyka

Uwierzytelniony użytkownik może uzyskać dostęp do książki adresowej urządzeń innych użytkowników, ujawniając adresy MAC kontaktów, aliasy, uprawnienia do połączeń i identyfikatory właścicieli. Może to naruszyć prywatność i umożliwić dalsze ataki socjotechniczne.

Rekomendacja

Zaktualizuj Xiaozhi-esp32-server do wersji 0.9.8 lub nowszej. Do czasu aktualizacji rozważ ograniczenie możliwości samodzielnej rejestracji kont.

Inne podatności w Xiaozhi-esp32-server

CVE-2026-119703Średnie
xiaozhi-esp32-server w wersjach do 0.9.8 zawiera obejście uwierzytelniania w WebSocketServer._handle_auth, które pozwala zdalnym nieuwierzytelnionym atakującym pominąć weryfikację tokenu Bearer HMAC poprzez podszycie się pod nagłówek Device-ID. Atakujący podający identyfikator urządzenia w formacie adresu MAC z listy dozwolonych może otworzyć uwierzytelnioną sesję WebSocket, wydawać polecenia asystenta głosowego, wymieniać dźwięk i czytać kontekst rozmów tego urządzenia.

Oryginalny opis (angielski, źródło NVD)

Xiaozhi-esp32-server before 0.9.8 contains an insecure direct object reference vulnerability in the manager-api DeviceController.getAddressBook handler that allows authenticated users to read other users' device address books. Attackers with a normal or self-registered account can request /device/address-book/{macAddress} with another user's device MAC to obtain contact MACs, aliases, call permissions, and owner user IDs.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS