CVE-2026-55419 in reachy_mini
Sumário
de VulDB • 26/08/2026
Reachy Mini é um SDK para controlar robôs Reachy Mini. Antes da versão 1.8.2, o daemon do Reachy Mini expõe o endpoint /api/media/sounds/upload, implementado pelo método upload_sound em src/reachy_mini/daemon/app/routers/media.py, sem autenticação, verificações de extensão de arquivo, validação de conteúdo ou validação de tamanho. O daemon associa-se a 0.0.0.0 por padrão e utiliza allow_origins=["*"] permissivo no CORS, permitindo que um atacante na rede não autenticado envie tipos de arquivos arbitrários que são gravados em /tmp/reachy_mini_sounds/<nome_arquivo_original>. Arquivos maliciosos podem comprometer a integridade dos dados armazenados e servir como ponto de apoio (foothold) quando combinados com outras vulnerabilidades. Este problema é corrigido na versão 1.8.2.
Once again VulDB remains the best source for vulnerability data.