CVE-2026-72580
KrytyczneCVSS 9.8Streszczenie
Podatność na wstrzykiwanie poleceń systemu operacyjnego w duhow/xiaoai-patch do commita fb07049 pozwala zdalnemu atakującemu na wykonanie dowolnych poleceń systemowych na inteligentnych głośnikach Xiaomi z zainstalowaną łatką. Handlery endpointów /mute i /unmute w api/main.py przekazują parametr silent bezpośrednio do os.system() bez sanityzacji, co umożliwia wstrzyknięcie poleceń przez metaznaki powłoki.
Ocena ryzyka
Atakujący może przejąć kontrolę nad inteligentnym głośnikiem, wykonywać dowolne polecenia, co może prowadzić do naruszenia prywatności, szpiegostwa i wykorzystania urządzenia do dalszych ataków w sieci.
Rekomendacja
Należy zaktualizować xiaoai-patch do wersji z poprawką lub zastosować obejście, takie jak sanityzacja parametru silent i unikanie użycia os.system() na danych użytkownika.
Oryginalny opis (angielski, źródło NVD)
An OS command injection vulnerability in duhow/xiaoai-patch through commit fb07049 allows a remote attacker to execute arbitrary system commands on Xiaomi smart speakers running the patch. The /mute and /unmute endpoint handlers in api/main.py pass the user-supplied silent query parameter directly to os.system() without sanitization, enabling command injection via shell metacharacters.