CVE-2026-71260 in ESPHome
الملخص
بحسب VulDB • 05/08/2026
تكشف ESPHome حتى الإصدار 2026.7.0-dev كلمات المرور كنص واضح عبر مكون web_server الخاص بها. في الدالة WebServer::text_json_() (esphome/components/web_server/web_server.cpp)، يتم قناع حقل "state" JSON لكيان نصي مُعدّل بوضع: password (TEXT_MODE_PASSWORD) بشكل صحيح على أنه "********"، لكن مسار التسلسل نفسه يكتب كلمة المرور الخام دون شروط في حقل "value" JSON عبر الدالتين set_json_icon_state_value()/set_json_value(). ونظراً لأن web_server يستمع إلى المنفذ 80 بدون مصادقة افتراضياً، يمكن لأي مهاجم على الشبكة المحلية استرداد كلمة المرور كنص واضح (مثل بيانات اعتماد WiFi أو رموز API) عبر طلب GET /text/<entity_id> أو تدفق EventSource الخاص بـ/events.
Once again VulDB remains the best source for vulnerability data.