CVE-2025-57808
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 76 - wyżej niż 76% wszystkich znanych CVE
Streszczenie
W ESPHome w wersji 2025.8.0 na platformie ESP-IDF mechanizm uwierzytelniania web_server może nieprawidłowo przepuszczać żądania, gdy dostarczona przez klienta wartość base64 Authorization jest pusta lub jest podciągiem poprawnej wartości. Pozwala to na dostęp do funkcjonalności web_server (w tym OTA, jeśli włączone) bez znajomości nazwy użytkownika ani hasła. Problem naprawiono w wersji 2025.8.1.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do interfejsu webowego i potencjalnie przeprowadzić aktualizację OTA, co może prowadzić do przejęcia kontroli nad urządzeniem.
Rekomendacja
Zaktualizuj ESPHome do wersji 2025.8.1 lub nowszej. Jeśli to możliwe, wyłącz web_server lub ogranicz dostęp sieciowy do niego.
Inne podatności w ESPHome
Zobacz wszystkie- CVE-2026-71260Średnie
ESPHome do wersji 2026.7.0-dev ujawnia hasła w postaci zwykłego tekstu przez komponent web_server. W WebServer::text_json_ (esphome/components/web_server/web_server.cpp), encja tekstowa skonfigurowana z trybem: password (TEXT_MODE_PASSWORD) ma pole JSON "state" poprawnie zamaskowane jako "********", ale ta sama ścieżka serializacji bezwarunkowo zapisuje surowe hasło do pola JSON "value" przez set_json_icon_state_value/set_json_value.
- CVE-2026-71259Wysokie
ESPHome do wersji 2026.7.0-dev zawiera błąd pierwszeństwa operatorów w walidatorze cv.url w esphome/config_validation.py. Ponieważ [operator] wiąże mocniej niż [operator], każdy URI file: przechodzi walidację niezależnie od netloc. Ten walidator kontroluje pole schematu git w dyrektywie YAML external_components, które jest przekazywane do [funkcji] (git obsługuje file:// natywnie).
Oryginalny opis (angielski, źródło NVD)
ESPHome is a system to control microcontrollers remotely through Home Automation systems. In version 2025.8.0 in the ESP-IDF platform, ESPHome's web_server authentication check can pass incorrectly when the client-supplied base64-encoded Authorization value is empty or is a substring of the correct value. This allows access to web_server functionality (including OTA, if enabled) without knowing any information about the correct username or password. This issue has been patched in version 2025.8.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS