CVE-2026-116017
Beschrijving NL
Xiaozhi-esp32-server vóór 0.9.8 bevat een onveilige kwetsbaarheid voor directe objectreferentie in de manager-api DeviceController.getAddressBook-handler waarmee geverifieerde gebruikers de adresboeken van andere gebruikers kunnen lezen. Aanvallers met een normaal of zelfgeregistreerd account kunnen/device/address-book/{macAddress} aanvragen bij het MAC-APPARAAT van een andere gebruiker om contact-MAC's, aliassen, gespreksmachtigingen en gebruikers-ID's van de eigenaar te verkrijgen.
Origineel (Engels) tonen
Xiaozhi-esp32-server before 0.9.8 contains an insecure direct object reference vulnerability in the manager-api DeviceController.getAddressBook handler that allows authenticated users to read other users' device address books. Attackers with a normal or self-registered account can request /device/address-book/{macAddress} with another user's device MAC to obtain contact MACs, aliases, call permissions, and owner user IDs.