CVE-2026-71260 in ESPHome
요약
\~에 의해 VulDB • 2026. 08. 05.
ESPHome 2026.7.0-dev 이전 버전은 web_server 구성 요소를 통해 평문 비밀번호를 노출합니다. WebServer::text_json_() 함수(esphome/components/web_server/web_server.cpp)에서 mode: password(TEXT_MODE_PASSWORD)로 구성된 텍스트 엔티티의 JSON "state" 필드는 올바르게 "********"로 마스킹되지만, 동일한 직렬화 경로는 set_json_icon_state_value()/set_json_value()를 통해 원시 비밀번호를 JSON "value" 필드에 무조건적으로 기록합니다. web_server는 기본적으로 인증 없이 포트 80에서 수신 대기하므로, 로컬 네트워크의 공격자는 GET /text/<entity_id> 또는 /events EventSource 스트림을 통해 평문 비밀번호(예: WiFi 자격 증명, API 토큰)를 검색할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.