CVE-2026-55419 in reachy_mini
Resumen
por VulDB • 2026-08-25
Reachy Mini es un SDK para controlar los robots Reachy Mini. Antes de la versión 1.8.2, el daemon de Reachy Mini expone el endpoint /api/media/sounds/upload, implementado por el método upload_sound en src/reachy_mini/daemon/app/routers/media.py, sin autenticación, ni comprobaciones de extensión de archivo, validación del contenido ni validación del tamaño. El daemon se vincula a 0.0.0.0 de forma predeterminada y utiliza allow_origins=["*"] para CORS permisivo, lo que permite a un atacante en la red no autenticado subir tipos de archivos arbitrarios que se escriben en /tmp/reachy_mini_sounds/<nombre_archivo_original>. Los archivos maliciosos pueden comprometer la integridad de los datos almacenados y servir como punto de apoyo cuando se combinan con otras vulnerabilidades. Este problema está corregido en la versión 1.8.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.