CVE-2026-116017 in xiaozhi-esp32-server
要約
〜によって VulDB • 2026年10月24日
Xiaozhi-esp32-server 0.9.8 より前のバージョンには、manager-api DeviceController.getAddressBook ハンドラにインセキュア・ダイレクト・オブジェクト・リファレンス（IDOR）脆弱性が存在し、認証済みユーザーが他のユーザーのデバイスアドレスブックを読み取ることができます。通常アカウントまたは自己登録アカウントを持つ攻撃者は、別のユーザーのデバイスの MAC アドレスを使用して /device/address-book/{macAddress} にアクセスすることで、連絡先の MAC アドレス、エイリアス、通話権限、および所有者のユーザー ID を取得できます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.