CVE-2026-111623

ŚrednieCVSS 5.6

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

Xiaozhi-esp32-server-java do wersji 6.1.0 zawiera podatność typu obejście uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na uzyskanie ważnych tokenów WebSocket urządzenia poprzez żądanie /api/device/ota z dowolnym adresem MAC. Atakujący może otworzyć kanał WebSocket ofiary, aby odczytać prywatne prompty systemowe roli, zapisywać historię rozmów, zużywać poświadczenia LLM/STT/TTS i nadpisywać metadane urządzenia.

Ocena ryzyka

Przejęcie kanału komunikacji urządzenia — wyciek prywatnych promptów, manipulacja historią rozmów, zużycie płatnych zasobów LLM/STT/TTS oraz fałszowanie metadanych. Może prowadzić do nadużyć finansowych i naruszenia prywatności użytkowników.

Rekomendacja

Zaktualizować Xiaozhi-esp32-server-java do wersji nowszej niż 6.1.0, gdy będzie dostępna, oraz wdrożyć weryfikację adresu MAC i uwierzytelnianie w endpoincie /api/device/ota. Do czasu poprawki rozważyć ograniczenie dostępu do tego endpointu.

Inne podatności w Xiaozhi-esp32-server-java

CVE-2025-15135Średnie
W projekcie joey-zhou xiaozhi-esp32-server-java do wersji 3.0.0 stwierdzono podatność na nieprawidłowe uwierzytelnianie w funkcji tryAuthenticateWithCookies pliku AuthenticationInterceptor.java w komponencie Cookie Handler. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Wersja 4.0.0 naprawia ten problem.

Oryginalny opis (angielski, źródło NVD)

Xiaozhi-esp32-server-java through 6.1.0 contains an authentication bypass vulnerability that allows unauthenticated attackers to obtain valid device WebSocket tokens by requesting /api/device/ota with any MAC address. Attackers can open a victim device's WebSocket channel to read private role system prompts, write conversation history, consume LLM/STT/TTS credentials, and overwrite device metadata.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS