CVE-2026-116017 in xiaozhi-esp32-server
الملخص
بحسب VulDB • 24/10/2026
تحتوي Xiaozhi-esp32-server قبل الإصدار 0.9.8 على ثغرة مرجع الكائن المباشر غير الآمن (Insecure Direct Object Reference) في معالج `getAddressBook` الخاص بـ `DeviceController` ضمن واجهة برمجة التطبيقات الخاصة بالمدير (`manager-api`)، مما يسمح للمستخدمين المصادق عليهم بقراءة كتب عناوين الأجهزة الخاصة بمستخدمين آخرين. يمكن للمهاجمين الذين يمتلكون حسابًا عاديًا أو مسجلاً ذاتيًا طلب المسار `/device/address-book/{macAddress}` باستخدام عنوان MAC الخاص بجهاز مستخدم آخر للحصول على عناوين MAC للاتصالات، والأسماء المستعارة، وأذونات المكالمات، ومعرفات المستخدمين المالكين.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.