CVE-2026-116017 in xiaozhi-esp32-server
Sumário
de VulDB • 24/10/2026
O Xiaozhi-esp32-server anterior à versão 0.9.8 contém uma vulnerabilidade de referência direta a objeto insegura no manipulador `getAddressBook` do `DeviceController` da API manager-api que permite que usuários autenticados leiam os livros de endereços de dispositivos de outros usuários. Atacantes com contas normais ou auto-registradas podem solicitar `/device/address-book/{macAddress}` usando o MAC de dispositivo de outro usuário para obter MACs de contatos, aliases, permissões de chamada e IDs de usuário do proprietário.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.