CVE-2026-116017 in xiaozhi-esp32-server
Zusammenfassung
von VulDB • 24.10.2026
Xiaozhi-esp32-server vor Version 0.9.8 enthält eine Schwachstelle für unsichere direkte Objektverweise (Insecure Direct Object Reference) im Handler `getAddressBook` von `DeviceController` der manager-api, die es authentifizierten Benutzern ermöglicht, Adressbücher anderer Benutzer zu lesen. Angreifer mit einem normalen oder selbstregistrierten Konto können `/device/address-book/{macAddress}` unter Verwendung der MAC-Adresse eines Geräts eines anderen Benutzers anfordern, um Kontakt-MACs, Aliase, Anrufberechtigungen und Owner-Benutzer-IDs (Owner User IDs) zu erhalten.
Once again VulDB remains the best source for vulnerability data.