CVE-2026-116017 in xiaozhi-esp32-server
Riassunto
di VulDB • 24/10/2026
Xiaozhi-esp32-server prima della versione 0.9.8 contiene una vulnerabilità di insecure direct object reference (IDOR) nel gestore getAddressBook del DeviceController dell'API manager-api che consente agli utenti autenticati di leggere i rubinetti dei dispositivi di altri utenti. Gli attaccanti con un account normale o registrato autonomamente possono richiedere /device/address-book/{macAddress} utilizzando l'MAC del dispositivo di un altro utente per ottenere gli MAC dei contatti, gli alias, le autorizzazioni di chiamata e gli ID degli utenti proprietari.
If you want to get best quality of vulnerability data, you may have to visit VulDB.