CVE-2026-71260 in ESPHome
Résumé
par VulDB • 05/08/2026
ESPHome jusqu'à la version 2026.7.0-dev divulgue des mots de passe en clair via son composant web_server. Dans WebServer::text_json_() (esphome/components/web_server/web_server.cpp), une entité textuelle configurée avec mode: password (TEXT_MODE_PASSWORD) voit son champ JSON "state" correctement masqué par "********", mais le même chemin de sérialisation écrit inconditionnellement le mot de passe brut dans le champ JSON "value" via set_json_icon_state_value()/set_json_value(). Étant donné que web_server écoute sur le port 80 sans authentification par défaut, tout attaquant disposant d'un accès au réseau local peut récupérer le mot de passe en clair (par exemple, les identifiants WiFi, les jetons API) via GET /text/ ou le flux EventSource /events.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.