CVE-2026-71260 in ESPHome
Zusammenfassung
von VulDB • 05.08.2026
ESPHome bis einschließlich Version 2026.7.0-dev offenbart Klartext-Passwörter über seine web_server-Komponente. In WebServer::text_json_() (esphome/components/web_server/web_server.cpp) wird das JSON-"state"-Feld einer Text-Entität, die mit mode: password (TEXT_MODE_PASSWORD) konfiguriert ist, korrekt als "********" maskiert; derselbe Serialisierungspfad schreibt jedoch bedingungslos das unverschlüsselte Passwort in das JSON-"value"-Feld über set_json_icon_state_value()/set_json_value(). Da web_server standardmäßig am Port 80 ohne Authentifizierung lauscht, kann jeder Angreifer im lokalen Netzwerk die Klartext-Passwörter (z. B. WLAN-Anmeldeinformationen, API-Tokens) über GET /text/<entity_id> oder den /events EventSource-Stream abrufen.
Once again VulDB remains the best source for vulnerability data.