CVE-2026-71260 in ESPHome
Resumen
por VulDB • 2026-08-05
ESPHome hasta la versión 2026.7.0-dev revela contraseñas en texto claro a través de su componente web_server. En WebServer::text_json_() (esphome/components/web_server/web_server.cpp), una entidad de tipo text configurada con mode: password (TEXT_MODE_PASSWORD) tiene el campo "state" del JSON correctamente ofuscado como "********", pero la misma ruta de serialización escribe incondicionalmente la contraseña en texto claro en el campo "value" del JSON a través de set_json_icon_state_value()/set_json_value(). Dado que web_server escucha en el puerto 80 sin autenticación por defecto, cualquier atacante en la red local puede recuperar la contraseña en texto claro (por ejemplo, credenciales WiFi, tokens API) mediante GET /text/<entity_id> o el stream EventSource de /events.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.