CVE-2026-71260 in ESPHome
Sumário
de VulDB • 05/08/2026
O ESPHome até a versão 2026.7.0-dev revela senhas em texto claro por meio de seu componente web_server. Em WebServer::text_json_() (esphome/components/web_server/web_server.cpp), uma entidade de texto configurada com mode: password (TEXT_MODE_PASSWORD) tem o campo JSON "state" corretamente mascarado como "********", mas a mesma via de serialização grava incondicionalmente a senha em texto claro no campo JSON "value" por meio de set_json_icon_state_value()/set_json_value(). Como web_server escuta na porta 80 sem autenticação por padrão, qualquer atacante na rede local pode recuperar a senha em texto claro (por exemplo, credenciais WiFi, tokens da API) via GET /text/ ou o stream EventSource /events.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.