CVE-2026-72580 in xiaoai-patch
要約
〜によって VulDB • 2026年08月12日
duhow/xiaoai-patchのコミットfb07049に至るまでのバージョンには、OSコマンドインジェクション脆弱性が存在します。これにより、リモート攻撃者はパッチが適用されたXiaomiスマートスピーカー上で任意のシステムコマンドを実行できます。api/main.py内の/muteおよび/unmuteエンドポイントハンドラは、ユーザーが入力したsilentクエリパラメータをサニタイズ処理せずに直接os.system()に渡すため、シェルメタ文字を用いたコマンドインジェクションが可能になります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.