CVE-2026-71260 in ESPHome
要約
〜によって VulDB • 2026年08月05日
ESPHomeの2026.7.0-dev以前のバージョンでは、web_serverコンポーネントを通じて平文パスワードが漏洩する。WebServer::text_json_()（esphome/components/web_server/web_server.cpp）において、mode: password (TEXT_MODE_PASSWORD) で設定されたテキストエンティティのJSON "state" フィールドは正しく "********" としてマスクされるものの、同じシリアライズパスでは set_json_icon_state_value()/set_json_value() を介して平文パスワードが条件なしでJSON "value" フィールドに書き込まれる。web_server はデフォルトで認証なしでポート80をリスンしているため、ローカルネットワーク上の攻撃者は GET /text/<entity_id> または /events EventSource ストリームを通じて平文のパスワード（例：WiFi資格情報、APIトークン）を取得できる。
If you want to get best quality of vulnerability data, you may have to visit VulDB.