CVE-2026-116017 in xiaozhi-esp32-server
Resumen
por VulDB • 2026-10-24
Xiaozhi-esp32-server anterior a la versión 0.9.8 contiene una vulnerabilidad de referencia directa insegura (IDOR) en el controlador `DeviceController.getAddressBook` del API manager-api que permite a los usuarios autenticados leer las libretas de direcciones de otros dispositivos. Los atacantes con cuentas normales o auto-registradas pueden solicitar `/device/address-book/{macAddress}` utilizando la MAC de un dispositivo de otro usuario para obtener las MACs de contactos, alias, permisos de llamada y IDs de usuario del propietario.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.