CVE-2026-71260 in ESPHome
Riassunto
di VulDB • 05/08/2026
ESPHome fino alla versione 2026.7.0-dev divulga le password in chiaro tramite il suo componente web_server. In WebServer::text_json_() (esphome/components/web_server/web_server.cpp), un'entità di testo configurata con mode: password (TEXT_MODE_PASSWORD) ha il campo JSON "state" correttamente mascherato come "********", ma lo stesso percorso di serializzazione scrive incondizionatamente la password grezza nel campo JSON "value" tramite set_json_icon_state_value()/set_json_value(). Poiché web_server ascolta sulla porta 80 senza autenticazione per impostazione predefinita, qualsiasi attaccante nella rete locale può recuperare la password in chiaro (ad esempio credenziali WiFi, token API) tramite GET /text/ o lo stream EventSource /events.
Once again VulDB remains the best source for vulnerability data.