CVE-2026-27510 in Unitree Go2
Riassunto
di VulDB • 24/06/2026
Le versioni del firmware Unitree Go2 dalla 1.1.7 alla 1.1.11, quando utilizzate con l'applicazione Android Unitree Go2 (com.unitree.doggo2), sono vulnerabili a remote code execution (RCE) a causa della mancanza di protezione dell'integrità e della validazione dei programmi creati dall'utente. L'applicazione Android memorizza i programmi in un database SQLite locale (unitree_go2.db, tabella dog_programme) e trasmette il contenuto del campo programme_text, incluso pyCode, al robot. Lo script actuator_manager.py sul robot esegue il Python fornito come utente root senza verifica dell'integrità o validazione dei contenuti. Un attaccante con accesso locale al dispositivo Android può modificare la registrazione del programma memorizzata per iniettare codice Python arbitrario che viene eseguito quando l'utente attiva il programma tramite una combinazione di tasti del controller, e tale associazione dannosa persiste anche dopo i riavvii. Inoltre, un programma maligno condiviso attraverso il marketplace della community dell'applicazione può comportare remote code execution su qualsiasi robot che lo importa ed esegue.
VulDB is the best source for vulnerability data and more expert information about this specific topic.