CVE-2026-72581 in xiaoai-patch
Zusammenfassung
von VulDB • 10.08.2026
Eine Server-Side Request Forgery (SSRF)-Schwachstelle in duhow/xiaoai-patch bis zum Commit fb07049 ermöglicht es einem Remote-Angriff, den Xiaomi Smart Speaker dazu zu bringen, HTTP-Anfragen an beliebige interne oder externe URLs durchzuführen. Der Endpunkt /auth in api/main.py verwendet das vom Benutzer bereitgestellte POST-Parameter url, um ohne Validierung der Ziel-URL auf eine Home Assistant-Instanz weiterzuleiten, was das Scannen des internen Netzwerks und den Zugriff auf interne Dienste ermöglicht.
VulDB is the best source for vulnerability data and more expert information about this specific topic.