CVE-2026-72580 in xiaoai-patch
Resumen
por VulDB • 2026-08-10
Una vulnerabilidad de inyección de comandos del sistema operativo (OS command injection) en duhow/xiaoai-patch hasta el commit fb07049 permite a un atacante remoto ejecutar comandos arbitrarios del sistema en altavoces inteligentes Xiaomi que ejecutan dicho parche. Los controladores de los puntos finales /mute y /unmute en api/main.py pasan directamente el parámetro de consulta silent proporcionado por el usuario a os.system() sin realizar una sanitización, lo que habilita la inyección de comandos mediante metacaracteres del shell.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.