- Yama var
- Son 7 gün
- CWE-639
CVE-2026-116017
Xiaozhi-esp32-server'da cihaz adres defteri uç noktasında yetkisiz veri erişimi (IDOR)
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Xiaozhi-esp32-server sürüm 0.9.8 öncesinde, manager-api içindeki DeviceController.getAddressBook işleyicisinde güvensiz doğrudan nesne referansı (IDOR) zafiyeti bulunmaktadır. Bu zafiyet, kimliği doğrulanmış kullanıcıların diğer kullanıcıların cihaz adres defterlerini okumasına olanak tanımaktadır. Normal veya kendi kendine kaydettiği hesaba sahip saldırganlar, başka bir kullanıcının cihaz MAC adresiyle /device/address-book/{macAddress} yolunu isteyerek kişi MAC adreslerini, takma adları, arama izinlerini ve sahip kullanıcı kimliklerini elde edebilir.
Kaynaktaki açıklama (İngilizce)
Xiaozhi-esp32-server before 0.9.8 contains an insecure direct object reference vulnerability in the manager-api DeviceController.getAddressBook handler that allows authenticated users to read other users' device address books. Attackers with a normal or self-registered account can request /device/address-book/{macAddress} with another user's device MAC to obtain contact MACs, aliases, call permissions, and owner user IDs.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| xinnan-tech xiaozhi-esp32-server | < 0.9.8 | 0.9.8 |
Kaynaklar10 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/xinnan-tech/xiaozhi-esp32-server/pull/3460 Yama
- github.com/…ommit/d4ff9c5c17cbd82ec98a2a6bb4f82a07c1be0f03 Yama
- github.com/xinnan-tech/xiaozhi-esp32-server/issues/3459 Üçüncü taraf
- hackmd.io/…nguinnn/xiaozhi-esp32-server-address-book-idor Üçüncü taraf
- vulncheck.com/…re-0.9.8-idor-via-device-address-book-endpoint Üçüncü taraf
- github.com/…-tech/xiaozhi-esp32-server/releases/tag/v0.9.8 Diğer
- github.com/…odules/device/controller/DeviceController.java Diğer
- github.com/…sources/mapper/device/DeviceAddressBookDao.xml Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.