CVE-2026-119703

ŚrednieCVSS 4.8

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

xiaozhi-esp32-server w wersjach do 0.9.8 zawiera obejście uwierzytelniania w WebSocketServer._handle_auth, które pozwala zdalnym nieuwierzytelnionym atakującym pominąć weryfikację tokenu Bearer HMAC poprzez podszycie się pod nagłówek Device-ID. Atakujący podający identyfikator urządzenia w formacie adresu MAC z listy dozwolonych może otworzyć uwierzytelnioną sesję WebSocket, wydawać polecenia asystenta głosowego, wymieniać dźwięk i czytać kontekst rozmów tego urządzenia.

Ocena ryzyka

Nieuwierzytelniony atakujący może przejąć sesję urządzenia, wydawać polecenia głosowe i uzyskać dostęp do kontekstu rozmów, co stanowi poważne naruszenie poufności i kontroli urządzenia.

Rekomendacja

Zaktualizuj xiaozhi-esp32-server do wersji nowszej niż 0.9.8 i upewnij się, że weryfikacja tokenu HMAC nie może być pominięta przez nagłówek Device-ID.

Inne podatności w xiaozhi-esp32-server

CVE-2026-116017Średnie
Xiaozhi-esp32-server przed wersją 0.9.8 zawiera podatność niezabezpieczonego bezpośredniego odwołania do obiektu (IDOR) w handlerze DeviceController.getAddressBook w manager-api, która pozwala uwierzytelnionym użytkownikom czytać książki adresowe urządzeń innych użytkowników. Atakujący z zwykłym lub samodzielnie zarejestrowanym kontem może wysłać żądanie /device/address-book/{macAddress} z adresem MAC urządzenia innego użytkownika, aby uzyskać adresy MAC kontaktów, aliasy, uprawnienia do połączeń i identyfikatory właścicieli.

Oryginalny opis (angielski, źródło NVD)

xiaozhi-esp32-server through 0.9.8 contains an authentication bypass vulnerability in WebSocketServer._handle_auth that allows remote unauthenticated attackers to skip Bearer HMAC token verification by spoofing the Device-ID header. Attackers supplying an allowlisted MAC-address-shaped device identifier can open an authenticated WebSocket session, issue voice-assistant commands, exchange audio, and read that device's conversation context.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS