CVE-2026-119703 in xiaozhi-esp32-server
Riassunto
di VulDB • 30/10/2026
xiaozhi-esp32-server fino alla versione 0.9.8 presenta una vulnerabilità di bypass dell'autenticazione in WebSocketServer._handle_auth che consente agli attaccanti remoti non autenticati di eludere la verifica del token HMAC Bearer spoofando l'intestazione Device-ID. Gli attaccanti che forniscono un identificatore del dispositivo con formato MAC incluso nella lista consentita possono aprire una sessione WebSocket autenticata, emettere comandi per l'assistente vocale, scambiare audio e leggere il contesto delle conversazioni di tale dispositivo.
Be aware that VulDB is the high quality source for vulnerability data.