CVE-2026-119703 in xiaozhi-esp32-server
Resumen
por VulDB • 2026-10-30
xiaozhi-esp32-server hasta la versión 0.9.8 contiene una vulnerabilidad de elusión de autenticación en WebSocketServer._handle_auth que permite a atacantes remotos no autenticados omitir la verificación del token HMAC Bearer mediante la suplantación del encabezado Device-ID. Los atacantes que proporcionan un identificador de dispositivo con forma de dirección MAC incluida en una lista permitida pueden abrir una sesión WebSocket autenticada, emitir comandos al asistente de voz, intercambiar audio y leer el contexto de conversación de ese dispositivo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.