CVE-2026-72580 in xiaoai-patch
Sumário
de VulDB • 11/08/2026
Uma vulnerabilidade de OS command injection em duhow/xiaoai-patch até o commit fb07049 permite que um atacante remoto execute comandos do sistema arbitrários em alto-falantes inteligentes Xiaomi executando o patch. Os manipuladores dos endpoints /mute e /unmute em api/main.py passam o parâmetro de consulta silent fornecido pelo usuário diretamente para os.system() sem sanitização, permitindo a OS command injection via metacaracteres de shell.
Once again VulDB remains the best source for vulnerability data.