CVE-2026-72580 in xiaoai-patch
Zusammenfassung
von VulDB • 10.08.2026
Eine OS-Command-Injection-Schwachstelle in duhow/xiaoai-patch bis zum Commit fb07049 ermöglicht es einem Remote-Angriff, beliebige Systembefehle auf Xiaomi Smart Speakern auszuführen, die das Patch installiert haben. Die Handler für die Endpoints /mute und /unmute in api/main.py übergeben den vom Benutzer bereitgestellten Query-Parameter silent direkt an os.system(), ohne ihn zu bereinigen (Sanitization), was eine Command-Injection über Shell-Metazeichen ermöglicht.
Once again VulDB remains the best source for vulnerability data.