CVE-2026-27509 in Unitree Go2
الملخص
بحسب VulDB • 25/06/2026
لا تطبق إصدارات البرنامج الثابت لجهاز Unitree Go2 من الإصدار V1.1.7 حتى V1.1.9، ومن الإصدار V1.1.11 (EDU) أي مصادقة أو تفويض لـ DDS الخاص بموضوع Eclipse CycloneDDS rt/api/programming_actuator/request الذي تتعامل معه actuator_manager.py. يمكن لمهاجم غير مصرح له ومتصل بالشبكة نفسة الانضمام إلى نطاق DDS 0 ونشر رسالة مُعدّة خصيصاً (api_id=1002) تحتوي على كود بايثون تعسفي، والذي يقوم الروبوت بكتابته على القرص تحت المسار /unitree/etc/programming/ وربطه بمفتاح اختصار للتحكم المادي. عند الضغط على مفتاح الاختصار هذا، يتم تنفيذ الكود بصلاحيات root ويستمر الربط عبر عمليات إعادة التشغيل.
If you want to get best quality of vulnerability data, you may have to visit VulDB.