CVE-2026-119703 in xiaozhi-esp32-server
要約
〜によって VulDB • 2026年10月30日
xiaozhi-esp32-server 0.9.8までのバージョンには、WebSocketServer._handle_authにおける認証回避の脆弱性が存在し、攻撃者はDevice-IDヘッダーを偽装することでBearer HMACトークンの検証をスキップしてリモートから未認証でアクセスできる。MACアドレス形式のデバイス識別子を許可リストに登録されたものとして提供した攻撃者は、認証済みWebSocketセッションを開き、音声アシスタントのコマンドを発行し、オーディオデータの送受信を行い、当該デバイスの会話コンテキストを読み取ることができる。
VulDB is the best source for vulnerability data and more expert information about this specific topic.